[논문 리뷰] A Survey on Security Metrics

Marcus Pendleton, Richard Garcia-Lebron외 1명|arXiv (Cornell University)|2016. 01. 20.

Information and Cyber Security참고 문헌 83인용 수 8

한 줄 요약

이 종합적 검토는 보안 메트릭스를 측정하는 데 있어 시스템 취약성, 방어 조치, 위협 요소, 상황적 결과의 네 가지 카테고리로 구성된 새로운 분류 체계를 제안하며, 기존 메트릭스를 통합하고 평가하기 위한 체계적인 프레임워크를 제공한다. 현재 연구에서의 핵심적 격차를 밝히고, 학계, 산업계, 정부 간 협력적 노력을 통해 메트릭스 정의의 표준화와 보안 모델링의 이론적·실천적 발전을 촉구한다.

ABSTRACT

The importance of security metrics can hardly be overstated. Despite the attention that has been paid by the academia, government and industry in the past decades, this important problem stubbornly remains open. In this survey, we present a survey of knowledge on security metrics. The survey is centered on a novel taxonomy, which classifies security metrics into four categories: metrics for measuring the system vulnerabilities, metrics for measuring the defenses, metrics for measuring the threats, and metrics for measuring the situations. The insight underlying the taxonomy is that situations (or outcomes of cyber attack-defense interactions) are caused by certain threats (or attacks) against systems that have certain vulnerabilities (including human factors) and employ certain defenses. In addition to systematically reviewing the security metrics that have been proposed in the literature, we discuss the gaps between the state of the art and the ultimate goals.

연구 동기 및 목표

• 미국 정부 및 연구위원회가 어려운 문제로 간주하는 보안 메트릭스의 장기적인 열린 문제를 해결하기 위해.
• 보안 메트릭스를 네 가지 상호연관된 카테고리로 분류하는 통합적이고 체계적인 분류 체계를 개발하기 위해: 취약성, 방어 조치, 위협, 상황.
• 현재의 보안 메트릭스와 통합적 보안 모델링 및 실질적 의사결정을 위한 이상적인 메트릭스 사이의 격차를 메우기 위해.
• 보안 논문 및 교육 과정에서 메트릭스 정의의 표준화를 주장하여 보안 메트릭스 분야의 연구 및 교육 발전을 이끌기 위해.

제안 방법

• 위협이 시스템의 취약성을 악용하여 방어 조치에 의해 영향을 받는 결과를 초래하는 인과관계를 기반으로 한 새로운 분류 체계를 제안한다.
• 기존의 보안 메트릭스를 네 가지 카테고리로 분류한다: 취약성 메트릭스, 방어 메트릭스, 위협 메트릭스, 상황 메트릭스.
• 가산성과 단조성 등의 수학적 성질을 분석하여 메트릭스의 품질과 측정 가능성 평가를 수행한다.
• 이론적 및 실천적 응용을 모두 강조하면서 네 가지 카테고리 전반에 걸친 보안 메트릭스 문헌을 검토한다.
• 표준화 부족, 수학적 성질 열악함, 실제 데이터 접근성 부족 등의 기존 메트릭스의 한계를 규명한다.
• 학계, 산업계, 정부 간 협력 모델을 제안하여 데이터 공유, 메트릭스 표준화, 교육과정 개발을 촉진한다.

실험 결과

연구 질문

• RQ1 사이버 공격-방어 상호작용의 전 과정을 포괄하는 보안 메트릭스의 근본적 카테고리들은 무엇인가?
• RQ2 가산성과 단조성 등의 수학적 성질을 사용하여 보안 메트릭스를 형식적으로 정의하고 평가할 수 있는가?
• RQ3 현재의 보안 메트릭스와 효과적인 보안 모델링 및 의사결정을 위한 메트릭스 사이의 핵심 격차는 무엇인가?
• RQ4 학계, 산업계, 정부는 보안 메트릭스 표준화 및 데이터 공유 격차를 어떻게 보완할 수 있는가?
• RQ5 보안 메트릭스는 시간과 시스템 구성에 따라 이론적 모델링 및 실질적 시스템 평가에서 어떤 역할을 해야 하는가?

주요 결과

• 제안된 분류 체계는 취약성, 방어 조치, 위협, 상황적 결과의 네 가지 상호연관된 카테고리로 보안 메트릭스를 정리하여 통합적 프레임워크를 제공한다.
• 대부분의 기존 보안 메트릭스는 가산성과 같은 공식적인 수학적 성질이 부족하여 다양한 시스템 간 신뢰할 수 있는 측정 및 변환을 어렵게 한다.
• 보안 논문에서 표준화된 메트릭스 정의가 부족하여 연구 간 재현성과 비교 가능성에 제약이 있다.
• 보안 시스템 내에서의 급격한 행동 변화는 가산성 메트릭스의 실현 가능성을 떨어뜨리며, 이는 대체 구조적 성질의 필요성을 시사한다.
• 산업계는 유용한 실생활 데이터를 보유하고 있으나, 개인정보 및 기밀 보호 우려로 인해 데이터 공유가 저해되고 있으며, 이에 대한 기관적 인centive 가 필요하다.
• 이 검토는 보안 메트릭스를 학술 교육 과정에 통합하고 논문에서 메트릭스 정의를 표준화하여 분야의 발전을 이끌 것을 촉구한다.