[논문 리뷰] A Case Study of the 2016 Korean Cyber Command Compromise

Kyong Jae Park, Sungmi Park외 1명|arXiv (Cornell University)|2017. 11. 13.

Cybersecurity and Cyber Warfare Studies참고 문헌 1인용 수 4

한 줄 요약

이 논문은 2016년 10월 한국의 사이버사령부를 대상으로 한 사이버공격을 분석하며, 약한 디지털 증거와 잘못된 공개 보고 방식에 기반한 북한에 대한 소행자 규명의 타당성을 도전한다. 논문은 공격 사건을 기존 사이버전쟁 대응 지침과 비교하여 분석하고, 가용한 증거만으로는 한국이 전쟁을 선언할 충분한 근거가 없음을 결론 내리며, 사이버 갈등에서의 사고 보고 및 소행자 규명에 대한 체계적 결함을 드러낸다.

ABSTRACT

On October 2016 the South Korean cyber military unit was the victim of a successful cyber attack that allowed access to internal networks. Per usual with large scale attacks against South Korean entities, the hack was immediately attributed to North Korea. Also, per other large-scale cyber security incidents, the same types of 'evidence' were used for attribution purposes. Disclosed methods of attribution provide weak evidence, and the procedure Korean organizations tend to use for information disclosure lead many to question any conclusions. We will analyze and discuss a number of issues with the current way that South Korean organizations disclose cyber attack information to the public. A time line of events and disclosures will be constructed and analyzed in the context of appropriate measures for cyber warfare. Finally, we will examine the South Korean cyber military attack in terms previously proposed cyber warfare response guidelines. Specifically, whether any of the guidelines can be applied to this real-world case, and if so, is South Korea justified in declaring war based on the most recent cyber attack.

연구 동기 및 목표

• 2016년 한국 사이버사령부를 대상으로 한 사이버공격의 소행자로 북한을 지목하는 데 사용된 증거를 비판적으로 검토하는 것.
• 한국 정부의 사이버 사고 관련 공개 보고 방식의 투명성과 신뢰성에 대해 조사하는 것.
• 기존 국제 지침에 따라 사이버전쟁에 적절한 대응 조건을 충족하는지 평가하는 것.
• 가용한 증거에 기반해 한국이 군사적 대응을 고려하는 데 합리적인지 평가하는 것.

제안 방법

• 2016년 사이버공격과 관련된 사건 일련의 흐름 및 공개 보고 내용을 상세히 정리하는 것.
• 기존 사이버소행자 규명 기준을 적용해 공개된 디지털 포렌식 및 소행자 규명 주장을 분석하는 것.
• 이전에 제안된 사이버전쟁 대응 지침을 사이버사령부 침해 사례에 실제 적용하는 것.
• 공개된 증거를 사이버사고 보고 및 소행자 규명 분야의 최선의 실천 방식과 비교하여 체계적 약점을 파악하는 것.
• 한국 정부가 공격의 원인과 심각성에 대해 제시한 공개 서사의 일관성과 방어 가능성 평가하는 것.

실험 결과

연구 질문

• RQ1 2016년 사이버사령부 침해 사태에 대해 북한을 소행자로 지목하는 데 사용된 증거는 무엇이며, 그 신뢰성은 어느 정도인가?
• RQ2 한국 정부의 공개 보고 방식은 사이버소행자 규명 주장의 신뢰성에 어떤 영향을 미치는가?
• RQ3 2016년 사태가 기존 지침에 따라 합리적인 사이버전쟁 대응 기준을 충족하는 정도는 어느 정도인가?
• RQ4 가용한 증거로 국제 규범에 따라 전쟁 宣을 선언하거나 군사적 보복을 정당화할 수 있는가?
• RQ5 국가 지원 사이버작업에서 현재의 사이버사고 보고 및 소행자 규명 모델에 존재하는 체계적 결함는 무엇인가?

주요 결과

• 북한을 소행자로 지목하는 데 사용된 증거는 명백한 기술적 지표보다는 패턴 기반으로 이루어져 있어 약한 것으로 기술된다.
• 한국 기관의 공개 보고 방식은 투명성과 일관성이 부족하여 소행자 규명 주장의 신뢰도를 저하시킨다.
• 제안된 지침에 따라 사이버전쟁에 적절한 대응 조건을 충족하지 못함에 따라, 충분한 증거가 없어 정당한 사이버전쟁 대응 기준을 충족하지 못한다.
• 논문은 디지털 포렌식 분석보다는 지리정치적 연대에 기반한 소행자 규명이 반복되는 패턴을 확인한다.
• 논문은 공격 이후 제시된 증거만으로는 한국이 전쟁을 선언하는 데 합리적 근거가 없다고 결론 내린다.