사이버 보안에서 DREAD란 무엇인가?
DREAD는 마이크로소프트(Microsoft)에서 개발한 위험 평가(risk assessment) 도구를 기반으로 한 위협 등급 체계입니다. 한때 OpenStack을 비롯한 여러 기업에서 활용되었지만, 현재는 개발자들이 이 체계를 더 이상 사용하지 않기로 하면서 점차 외면되고 있습니다. 그럼에도 불구하고 DREAD는 보안 위협을 위험도에 따라 분류하고 우선순위를 매기는 대표적인 프레임워크로, 다섯 가지 범주를 통해 위협의 심각도를 평가합니다.
DREAD의 구성 요소
DREAD는 다음 다섯 가지 요소의 약어입니다.
- Damage Potential(손상 가능성): 위협이 발생했을 때 시스템에 입힐 수 있는 피해의 정도
- Reproducibility(재현성): 동일한 공격을 얼마나 쉽게 반복할 수 있는지
- Exploitability(악용 가능성): 공격자가 해당 취약점을 얼마나 쉽게 악용할 수 있는지
- Affected Users(영향받는 사용자): 공격의 영향을 받는 사용자의 수
- Discoverability(발견 가능성): 취약점이나 위협이 얼마나 쉽게 발견될 수 있는지
참고로 'DREAD'라는 단어 자체는 일상 언어에서 '큰 두려움', '공포'를 뜻하며, 무언가를 몹시 두려워하거나 꺼리는 감정을 표현할 때도 사용됩니다.
DREAD와 STRIDE란 무엇인가?
DREAD와 STRIDE는 애플리케이션의 보안을 분석하기 위한 위협 모델링(threat modeling) 기법입니다. 두 방법론은 애플리케이션과 관련된 보안 위험을 식별하고, 분류하고, 평가하고, 비교하고, 우선순위를 정하는 과정을 체계적이고 구조화된 방식으로 수행할 수 있도록 돕습니다.
손상 가능성(Damage Potential)의 평가 기준
DREAD에서 손상 가능성은 두 가지 관점에서 평가됩니다. 첫째는 보호되는 데이터의 유형, 둘째는 위협 행위자가 해당 데이터에 대해 갖는 접근 수준입니다. 예를 들어, 공격자가 위협의 존재를 인지하고 있고 실행 가능성이 있더라도 실제로 신뢰성 있게 악용할 수 없다면, 해당 위협의 위험 값은 매우 낮게 평가됩니다.
DREAD 위험 점수 계산 방식
DREAD 방법론에서는 각 위협이 지닌 위험 수준을 기준으로 심각도를 평가하고, 서로 비교하여 우선순위를 정합니다. 최종 DREAD 위험 점수는 다음 요소들의 합산으로 계산됩니다.
DREAD Risk = 손상(Damage) + 재현성(Reproducibility) + 악용 가능성(Exploitability) + 영향받는 사용자(Affected Users) + 발견 가능성(Discoverability)
STRIDE 방법론이란?
STRIDE는 여섯 가지 주요 위협 유형의 약어로, 각각의 위협을 체계적으로 분류하는 데 사용됩니다.
- Spoofing(스푸핑·신원 위장): 정당한 사용자나 시스템으로 위장하는 공격
- Tampering(변조): 데이터나 코드를 무단으로 수정하는 행위
- Repudiation(부인): 자신의 행위에 대한 책임을 부인할 수 있는 취약점
- Information Disclosure(정보 노출): 민감한 정보가 허가 없이 노출되는 문제
- Denial of Service(서비스 거부, DoS): 정상적인 서비스 이용을 방해하는 공격
- Elevation of Privilege(권한 상승): 제한된 권한을 가진 사용자가 더 높은 권한을 획득하는 위협
대표적인 위협 모델링 기법 세 가지 이상 살펴보기
위협 모델링에 활용할 수 있는 주요 방법론은 다음과 같습니다.
- STRIDE: 위협 유형별 분류에 특화된 마이크로소프트의 대표 기법
- PASTA: 공격 시뮬레이션 중심의 7단계 프로세스 기반 기법
- CVSS: 취약점의 심각도를 정량적으로 채점하는 표준 지표
- Attack Trees(공격 트리): 공격 경로를 계층 구조로 시각화하는 기법
- Security Cards(보안 카드): 브레인스토밍을 통한 창의적 위협 발견 기법
- Hazard Matrix(위해 매트릭스): 위험 요소를 행렬 형태로 분석하는 기법
각 기법은 IT 자산에 대한 위협을 평가하는 방식이 서로 다르므로, 조직의 환경과 목적에 맞는 방법론을 선택하거나 조합하여 사용하는 것이 바람직합니다.
맺음말
DREAD는 위협의 위험도를 정량적으로 평가하는 데 유용한 프레임워크였지만, 평가의 주관성 문제 등으로 인해 현재는 널리 사용되지 않는 추세입니다. 반면 STRIDE는 여전히 위협 모델링의 표준으로 자리 잡고 있으며, 두 기법을 함께 이해하면 애플리케이션 보안 위협을 더욱 체계적으로 분석하고 대응 전략을 세우는 데 큰 도움이 됩니다.