디지털 정보화 시대의 도래와 함께 사이버공간의 역학은 빠르게 변화하고 있으며, 이로 인해 사이버 위협이 크게 증가하고 있다. 본 논문에서는 사이버 공격 또는 보안 사고로부터 조직이 신속하게 복구할 수 있는 능력인 사이버 회복탄력성을 향상할 필요성에 대응하기 위해, Zero Trust(ZT) 보안 모델과 MITRE ATT&CK 매트릭스를 통합하는 방안을 제안한다. 본 연구는 공공부문 조직에서 널리 발생하는 피싱, 랜섬웨어, 내부자 위협, 고도지속위협(Advanced Persistent Threats, APTs) 등 조직에 중대한 위험을 초래하는 다양한 사이버 위협에 초점을 둔다. 이러한 위협은 조직의 네트워크 및 정보시스템의 취약점을 악용한다. ZT 모델의 원칙인 “never trust, always verify”는 모든 네트워크 트래픽을 동일하게 검사하도록 보장하며, 마이크로 세그멘테이션(micro-segmentation), 지속적 인증(continuous authentication), 최소권한(least privilege) 원칙과 같은 핵심 요소를 강조한다. 본 연구의 결과는 ZT 및 ATT&CK 모델의 효과적인 통합을 구현하고 관리하기 위한 실무적 지표를 제공하며, 이러한 시너지가 사이버 위협에 대한 조직의 회복탄력성을 유의미하게 향상시킬 수 있음을 보여준다. 본 연구는 사이버보안에서의 새로운 패러다임을 제시하는 것뿐만 아니라, 현대적 보안 전략의 필수 구성요소로서 Zero Trust 모델의 중요성을 부각하며, 조직이 변화하는 사이버 위협 환경을 선제적으로 분석함으로써 보다 안전하고 회복탄력적인 디지털 미래를 보장할 수 있음을 확인한다. 특히, ZT와 MITRE ATT&CK 매트릭스 간의 통합은 필수적인데, 현재의 보안 접근법은 다양한 사이버 위협의 복잡성과 정교한 특성을 충분히 다루지 못하기 때문이다. 이러한 연구 공백을 확인하고, 두 모델을 통합하기 위한 실무적 해결책을 제안함으로써 조직의 사이버 방어 메커니즘을 강화한다.

미국의 NIST, FIRST, MITRE 등 여러 조직과 연구자들은 진화하는 사이버 위협에 대응하기 위해 다양한 사이버보안 연구를 수행하고 있다. 네트워크 환경을 점검함으로써 시스템과 네트워크의 보안 수준을 향상시키는 연구는 지속적으로 수행되는 주요 연구 분야 중 하나이다. 적절한 보안 대응책을 선택하기 위해서는 그 대응책에 포함된 방어 기술이 자신의 시스템과 네트워크에 적합한지를 확인해야 한다. 그러나 이를 어떻게 판단할지는 어렵고 복잡한 문제이며, 사이버 위협이 진화함에 따라 그 판단 방식도 이에 맞추어 진화할 필요가 있다. 본 연구는 이러한 문제를 해결하기 위해 시스템 및 네트워크 환경을 바탕으로 방어 기술에 대한 6가지 지표를 정량적으로 설계하고, 전체 네트워크에 대한 실험은 물론 가상 네트워크 환경에서 사이버 위협이 피해를 유발한 이후의 보안 대응책에 대한 실험을 수행하였다. 제안된 방법은 적용된 완화(대응) 기술의 수에 비해 다수의 취약점을 포괄할 수 있었으며, 완화 후보의 우선순위 목록은 네트워크에 적합한 방어 기술의 목록을 선택할 수 있게 하였다. 본 연구는 향후 적용을 위해 네트워크 환경의 전체 시스템에서 취약점을 수집하고, 방어 수준을 측정하며, 보완적인 방어 기술을 우선순위로 정렬하고, 이를 방어책으로 나열하는 자동화 기술로 발전될 수 있다.

사이버공간은 인터넷의 급속한 확산으로 인해 확대되어 왔다. 이러한 확대는 기존의 전쟁 양식에서 사이버전이라는 형태를 포함하는 것으로의 변화를 가져왔다. 사이버공간에서 발생하는 사이버전은 사이버 자산의 취약성을 이용한 수많은 사이버공격으로 구성된다. 사이버공격은 네트워크에 연결된 자산의 수와 이러한 자산이 보유한 정보의 양이 증가함에 따라 늘어났으며, 정보는 전쟁의 결과를 좌우할 수 있다. 따라서 이러한 사이버공격이 작전의 실패와 직접적으로 연관될 수 있으므로, 물리적 작전 간 사이버공격으로 인한 피해를 평가하는 것은 매우 중요하다. 본 논문은 물리적 작전 간 사이버공격으로 인한 피해를 평가하기 위한 사이버 피해 평가 프레임워크를 제시한다.

국가방위는 감염병과 같은 비전통적 위협의 직접 또는 간접적 영향 하에서도 중단 없는 의사결정이 요구된다. 모든 업무가 정보시스템을 활용한다는 점에서 정보시스템의 지속성과 가용성을 보장하는 것이 매우 중요하다. 특히 보안 관리 측면에서 방위 업무는 네트워크를 국가방위 네트워크와 상용 인터넷 네트워크로 분리하여 수행되고 있다. 본 연구는 인터넷에서 수행되는 업무의 효율성과 방위 정보시스템의 효과적인 운영을 통한 보안의 실효성을 고려하는 지속가능성 중심의 업무 수행 계획을 제안한다. 이를 위해 국가방위 네트워크와 상용 인터넷 사이의 네트워크 접속 지점을 최소화하고, 다양한 업무 중 우선순위가 높은 과제를 선별하여 효율적으로 운영할 필요가 있다. 이를 위해 기관 “Organization A”에 대해 실제 사례를 조사하고 그 특성을 제시하였다. 본 논문에서 제시한 표적 과제와 운영 계획을 통해 방위 업무의 효과성을 향상시키고 감염병과 같은 비전통적 위협 하에서도 보안성을 확보할 수 있으며, 나아가 과업 수행의 지속성과 가용성을 증대시킬 수 있을 것이다.

디지털 정보화 시대의 도래와 함께 사이버공간의 역학은 빠르게 변화하고 있으며, 이로 인해 사이버 위협이 크게 증가하고 있다. 본 논문에서는 사이버 공격 또는 보안 사고로부터 조직이 신속하게 복구할 수 있는 능력인 사이버 회복탄력성을 향상할 필요성에 대응하기 위해, Zero Trust(ZT) 보안 모델과 MITRE ATT&CK 매트릭스를 통합하는 방안을 제안한다. 본 연구는 공공부문 조직에서 널리 발생하는 피싱, 랜섬웨어, 내부자 위협, 고도지속위협(Advanced Persistent Threats, APTs) 등 조직에 중대한 위험을 초래하는 다양한 사이버 위협에 초점을 둔다. 이러한 위협은 조직의 네트워크 및 정보시스템의 취약점을 악용한다. ZT 모델의 원칙인 “never trust, always verify”는 모든 네트워크 트래픽을 동일하게 검사하도록 보장하며, 마이크로 세그멘테이션(micro-segmentation), 지속적 인증(continuous authentication), 최소권한(least privilege) 원칙과 같은 핵심 요소를 강조한다. 본 연구의 결과는 ZT 및 ATT&CK 모델의 효과적인 통합을 구현하고 관리하기 위한 실무적 지표를 제공하며, 이러한 시너지가 사이버 위협에 대한 조직의 회복탄력성을 유의미하게 향상시킬 수 있음을 보여준다. 본 연구는 사이버보안에서의 새로운 패러다임을 제시하는 것뿐만 아니라, 현대적 보안 전략의 필수 구성요소로서 Zero Trust 모델의 중요성을 부각하며, 조직이 변화하는 사이버 위협 환경을 선제적으로 분석함으로써 보다 안전하고 회복탄력적인 디지털 미래를 보장할 수 있음을 확인한다. 특히, ZT와 MITRE ATT&CK 매트릭스 간의 통합은 필수적인데, 현재의 보안 접근법은 다양한 사이버 위협의 복잡성과 정교한 특성을 충분히 다루지 못하기 때문이다. 이러한 연구 공백을 확인하고, 두 모델을 통합하기 위한 실무적 해결책을 제안함으로써 조직의 사이버 방어 메커니즘을 강화한다.

미국의 NIST, FIRST, MITRE 등 여러 조직과 연구자들은 진화하는 사이버 위협에 대응하기 위해 다양한 사이버보안 연구를 수행하고 있다. 네트워크 환경을 점검함으로써 시스템과 네트워크의 보안 수준을 향상시키는 연구는 지속적으로 수행되는 주요 연구 분야 중 하나이다. 적절한 보안 대응책을 선택하기 위해서는 그 대응책에 포함된 방어 기술이 자신의 시스템과 네트워크에 적합한지를 확인해야 한다. 그러나 이를 어떻게 판단할지는 어렵고 복잡한 문제이며, 사이버 위협이 진화함에 따라 그 판단 방식도 이에 맞추어 진화할 필요가 있다. 본 연구는 이러한 문제를 해결하기 위해 시스템 및 네트워크 환경을 바탕으로 방어 기술에 대한 6가지 지표를 정량적으로 설계하고, 전체 네트워크에 대한 실험은 물론 가상 네트워크 환경에서 사이버 위협이 피해를 유발한 이후의 보안 대응책에 대한 실험을 수행하였다. 제안된 방법은 적용된 완화(대응) 기술의 수에 비해 다수의 취약점을 포괄할 수 있었으며, 완화 후보의 우선순위 목록은 네트워크에 적합한 방어 기술의 목록을 선택할 수 있게 하였다. 본 연구는 향후 적용을 위해 네트워크 환경의 전체 시스템에서 취약점을 수집하고, 방어 수준을 측정하며, 보완적인 방어 기술을 우선순위로 정렬하고, 이를 방어책으로 나열하는 자동화 기술로 발전될 수 있다.

사이버공간은 인터넷의 급속한 확산으로 인해 확대되어 왔다. 이러한 확대는 기존의 전쟁 양식에서 사이버전이라는 형태를 포함하는 것으로의 변화를 가져왔다. 사이버공간에서 발생하는 사이버전은 사이버 자산의 취약성을 이용한 수많은 사이버공격으로 구성된다. 사이버공격은 네트워크에 연결된 자산의 수와 이러한 자산이 보유한 정보의 양이 증가함에 따라 늘어났으며, 정보는 전쟁의 결과를 좌우할 수 있다. 따라서 이러한 사이버공격이 작전의 실패와 직접적으로 연관될 수 있으므로, 물리적 작전 간 사이버공격으로 인한 피해를 평가하는 것은 매우 중요하다. 본 논문은 물리적 작전 간 사이버공격으로 인한 피해를 평가하기 위한 사이버 피해 평가 프레임워크를 제시한다.

국가방위는 감염병과 같은 비전통적 위협의 직접 또는 간접적 영향 하에서도 중단 없는 의사결정이 요구된다. 모든 업무가 정보시스템을 활용한다는 점에서 정보시스템의 지속성과 가용성을 보장하는 것이 매우 중요하다. 특히 보안 관리 측면에서 방위 업무는 네트워크를 국가방위 네트워크와 상용 인터넷 네트워크로 분리하여 수행되고 있다. 본 연구는 인터넷에서 수행되는 업무의 효율성과 방위 정보시스템의 효과적인 운영을 통한 보안의 실효성을 고려하는 지속가능성 중심의 업무 수행 계획을 제안한다. 이를 위해 국가방위 네트워크와 상용 인터넷 사이의 네트워크 접속 지점을 최소화하고, 다양한 업무 중 우선순위가 높은 과제를 선별하여 효율적으로 운영할 필요가 있다. 이를 위해 기관 “Organization A”에 대해 실제 사례를 조사하고 그 특성을 제시하였다. 본 논문에서 제시한 표적 과제와 운영 계획을 통해 방위 업무의 효과성을 향상시키고 감염병과 같은 비전통적 위협 하에서도 보안성을 확보할 수 있으며, 나아가 과업 수행의 지속성과 가용성을 증대시킬 수 있을 것이다.

사이버공간에서 목표 지점에 접근하는 최선의 방법은 네트워크 취약성, 접근성, 시간 효율성, 은폐성 등과 같은 복잡성을 해결하는 문제와 관련하여 종종 도전받아 왔다. 따라서 접근에 필요한 사이버공간의 세 층에 속하는 다양한 작전 요소를 분류하고 자동화하며 최적화하기 위한 기법이 요구된다. 군에서 사용하는 정책 수립 기법을 적용할 경우, 목적에 접근하기 위한 최적의 의사결정 과정을 정량화하고 규명하는 데 최적화를 활용할 수 있다. 이에 본 연구에서는 사이버공격 및 방어 훈련을 위해 5W1H 방법에 따라 사이버 작전 요소를 분류한다. 그 다음, 5W1H의 각 범주를 정량화하고 평가한 뒤 우선순위를 부여함으로써 행동방침(COA)을 수립하는 방법을 제안한다. 효과성은 추출된 COA를 잘 알려진 한 사이버공격 사례에 적용하여 분석하였고, 가장 큰 영향을 미친 요인들을 추출할 수 있었다. 본 연구의 목적은 사이버공격 및 방어 훈련을 수행할 때 최선의 사이버 작전 COA를 수립하는 데 도움이 되는 것이다.

네트워크 침입 탐지 시스템(Network Intrusion Detection Systems, NIDS)은 사이버공격으로부터 네트워크 환경을 보호하는 데 핵심적인 역할을 한다. 그러나 전통적인 NIDS는 미리 정의된 공격 시그니처에 크게 의존하는 경우가 많아 제로데이 공격을 탐지하는 능력이 제한된다. 기계 학습 기반 침입 탐지 기법이 네트워크 침입 방지 시스템(Network Intrusion Prevention Systems, NIPS)에서 널리 채택되어 왔음에도 불구하고, 공개된 네트워크 트래픽 데이터셋은 흔히 심각한 클래스 불균형 문제를 겪어 치우친 학습과 탐지 성능 저하로 이어진다. 이를 해결하기 위해 본 연구에서는 3D-GAN(Three-Discriminator Generative Adversarial Network) 기반 데이터 증강 프레임워크를 제안한다. 제안된 아키텍처는 병렬 판별자로서 오토인코더, CNN(Convolutional Neural Network), LSTM(Long Short-Term Memory) 네트워크를 통합하여 네트워크 트래픽의 통계적, 공간적, 시간적 특성을 포착한다. 여러 판별자 손실을 공동 최적화함으로써 프레임워크는 학습 안정성을 향상시키고 고품질의 합성 샘플을 생성한다. 실험은 CIC-UNSW-NB15 데이터셋에서 Random Forest-, XGBoost(eXtreme Gradient Boosting)- 및 BiGRU(Bidirectional Gated Recurrent Unit)-기반 분류기를 사용하여 수행하였다. 클래스 불균형을 해결하기 위해 각각 약 100,000개 및 350,000개의 샘플을 포함하는 두 개의 증강 데이터셋을 구성하였다. 그중, 제안된 3D-GAN을 사용하여 증강한 Dataset 2에서 가장 큰 성능 향상이 관찰되었다. 원래의 불균형 데이터셋과 비교할 때, Dataset 2로 학습된 XGBoost 분류기는 정확도와 F1-score 모두에서 약 4%의 증가를 보였으며, 오탐률(false positive rate)과 미탐률(false negative rate)은 각각 약 3.5% 감소하였다. 또한 최적 구성을 통해 F1-score 0.9816을 달성하여 복잡한 네트워크 트래픽 패턴을 모델링하는 우수한 능력을 시사하였다. 전반적으로 본 연구는 GAN 기반 데이터 증강이 클래스 불균형을 완화하고 침입 탐지 시스템의 견고성과 일반화 성능을 향상시킬 수 있는 잠재력을 강조한다.

기계학습 기반 네트워크 침입 탐지 시스템(Network Intrusion Detection Systems, NIDSs)은 일반적으로 정확도와 F1-score와 같은 균일한 지표를 최적화하지만, 실제 보안 운영에서의 비대칭적 비용 구조—즉 탐지를 놓친 경우(False Negative (FN))가 오탐(오경보)인 경우(False Positive (FP))보다 훨씬 더 큰 비용을 초래하는 상황—을 간과하는 경우가 많다. 본 연구에서는 확립된 비용 모델로부터 도출한 10:1의 FN 대 FP 비용 비율을 기반으로, XGBoost에 근거한 비용 민감적 임계값 최적화 프레임워크를 제안한다. 먼저 기본 임계값 0.5가 최적이 아니며, 전역적으로 최적화된 임계값 0.08이 총 비용을 실질적으로 감소시킴을 보인다. 그러나 단일 전역 임계값만으로는 다양한 공격 유형들이 보이는 이질적인 탐지 특성을 수용할 수 없다. 이에 따라 각 공격 클래스에 대해 독립적으로 최적화된 임계값을 할당하는 Per-Class Thresholding을 도입한다. CIC-IDS2018 및 UNSW-NB15에서 서로 다른 5개의 독립적인 무작위 시드에 대해 평가한 결과, 본 방법은 CIC-IDS2018에서 Random Forest 기준선 대비 28.19%의 비용 감소를 달성하였으며, 전역 임계값 하에서 탐지 불가능했던 공격 클래스들—예: DDoS attack-LOIC-UDP(100%), DoS attacks-SlowHTTPTest(99.79%), FTP-BruteForce(98.16%)—이 개별 클래스별 임계값 탐색을 통해 거의 완전한 수준으로 비용을 제거할 수 있음을 보여준다. UNSW-NB15에 대한 교차 데이터셋 검증은 또한 클래스별 임계값 설정이 클래스 수준 탐지를 일관되게 향상시키며, 정찰(Reconnaissance)에서 74.10%, 백도어(Backdoor)에서 69.06%, 분석(Analysis) 공격에서 54.42%의 비용 감소를 각각 보임을 추가로 확인한다. 이러한 결과는 비용 효율적인 침입 탐지를 위해서는 클래스 특이적 임계값 캘리브레이션이 필수적임을 입증한다.

네트워크 침입 탐지 시스템(NIDS)은 현대의 네트워크 환경을 보호하는 데 핵심적인 역할을 수행하지만, 기존 접근법은 보지 못한(미이탐) 공격을 탐지하는 능력과 낮은 오탐률을 동시에 균형 있게 달성하는 데 종종 어려움을 겪는다. 본 연구는 SAGEConv 기반 그래프 신경망(GNN)과 Transformer 인코더를 통합하여 네트워크 트래픽으로부터 국소적 구조 정보와 전역적 문맥 의존성을 함께 학습하는 하이브리드 침입 탐지 모델 HybridSAGETransformerGlobal을 제안한다. 제안된 프레임워크에서 네트워크 플로우는 그래프 노드로 표현되며, 엣지는 IP-group 인지 k-최근접 이웃(KNN)과 시간적 체인을 함께 사용하여 구성한다. 또한 본 모델은 학습 안정성과 탐지 성능을 향상시키기 위해 게이팅 융합 메커니즘, 다중 위치 인코딩, 클래스 가중치, 라벨 스무딩, 그리고 조기 종료를 통합한다. 제안 방법은 두 개의 벤치마크 데이터셋인 UNSW-NB15와 CIC-IDS2017에서, 데이터셋당 최대 약 100,000개의 플로우 샘플을 사용하고, 통합 전처리 및 학습 파이프라인 하에서 평가되었으며, GCN, GAT, GraphSAGE 및 Transformer 단독(only) 기준선과 비교되었다. UNSW-NB15에서 5개의 랜덤 시드에 대해 반복 실행 평가를 수행한 결과, 제안 모델은 정확도 0.9841 ± 0.0006, 매크로-정밀도 0.9684 ± 0.0010, 매크로-재현율 0.9818 ± 0.0026, 매크로-F1-score 0.9749 ± 0.0011을 달성하였고, 매크로-F1-score에서 가장 강력한 기준선 대비 통계적으로 유의미한 개선을 보였다. CIC-IDS2017에서도 제안된 하이브리드 모델은 일관되게 우수한 성능을 보였으며, 정확도 0.9749, 매크로-정밀도 0.9513, 매크로-재현율 0.9722, 매크로-F1-score 0.9613, ROC-AUC 0.9957을 달성하였다. 추가적인 절제(ablation) 분석, 민감도(sensitivity) 분석, 및 기준선 재최적화(baseline re-optimization) 분석은 제안 설계의 견고함을 further 뒷받침하였다. 이러한 결과는, 구조적 그래프 학습과 장거리 문맥 모델링을 결합한 조정된 하이브리드 아키텍처가 평가된 설정에서 견고한 플로우 기반 네트워크 침입 탐지를 위한 효과적인 프레임워크를 제공할 수 있음을 시사한다.

본 연구는 사이버 복원력의 정량적 평가를 위한 지표 선택 프레임워크와 정규화 방법을 제시하며, 핵심 차원으로서 가용성을 특히 중점으로 한다. 일반화 가능한 평가 모델을 개발하기 위해 1124개 조직의 서비스 유형을 범주화하고, 다양한 운영 환경에 적용 가능한 후보 지표를 식별하였다. 상호 배타성과 집합적 완전성의 원칙을 준수하면서, 다섯 가지 핵심 선택 기준—객관성, 재현성, 확장성, 실용성, 복원력과의 관련성—을 바탕으로 10개의 정량 지표를 도출하였다. 프레임워크의 타당성을 검증하기 위해, 가용성 지향 두 지표—Transactions per Second (TPS)와 Connections per Second (CPS)—를 TCP SYN flood 공격 시나리오를 사용한 시뮬레이션된 서비스 거부 환경에서 경험적으로 평가하였다. 실험은 정상 운영, 공격, 복구의 세 단계로 구성되었다. 성능 저하와 복구를 정량화하기 위해 각 조직의 Recovery Time Objective (RTO)를 기준선으로 사용하여, Area Under the Curve (AUC) 기반 Normalized Resilience Index (NRI)를 도입하였다. 이러한 접근은 서로 다른 서비스 조건을 가진 시스템 간에서 복원력 성능을 객관적이고 해석 가능한 방식으로 비교할 수 있게 한다. 연구 결과는 제안된 지표와 정규화 기법의 평가에 대한 실용적 적용 가능성을 보여주며, 복원력 정책 수립, 운영 벤치마킹, 기술적 의사결정에 대한 잠재력도 강조한다.