[논문 리뷰] Comparing Alternatives to Measure the Impact of DDoS Attack Announcements on Target Stock Prices

Abhishta Abhishta, Reinoud Joosten외 1명|arXiv (Cornell University)|2018. 05. 30.

Network Security and Intrusion Detection참고 문헌 12인용 수 3

한 줄 요약

이 논문은 DDoS 공격 발표가 피해 기업 주가에 미치는 영향을 평가하기 위해 세 가지 방법을 평가하며, 전통적인 정규분포 가정 방법과 두 가지 비모수적 방법(경험분포 기반)을 비교한다. 정규분포 가정에 기반한 누적 비정상 수익률 분석은 시장 영향을 심각하게 과소 또는 과대평가하는 경향이 있으며, 이는 사이버보안 금융 연구 분야에서 더 정확한 이벤트 스터디 분석을 위해 경험분포를 사용할 것을 권장한다.

ABSTRACT

The attack intensity of distributed denial of service (DDoS) attacks is increasing every year. Botnets based on internet of things (IOT) devices are now being used to conduct DDoS attacks. The estimation of direct and indirect economic damages caused by these attacks is a complex problem. One of the indirect damage of a DDoS attack can be on the market value of the victim firm. In this article we analyze the impact of 45 different DDoS attack announcements on victim's stock prices. We find that previous studies have a mixed conclusion on the impact of DDoS attack announcements on the victim's stock price. Hence, in this article we evaluate this impact using three different approaches and compare the results. In the first approach, we use the assume the cumulative abnormal returns to be normally distributed and test the hypothesis that a DDoS attack announcement has no impact on the victim's stock price. In the latter two methods, we do not assume a distribution and use the empirical distribution of cumulative abnormal returns to test the hypothesis. We find that the assumption of cumulative abnormal returns being normally distributed leads to overestimation/underestimation of the impact. Finally, we analyze the impact of DDoS attack announcement on victim's stock price in each of the 45 cases and present our results.

연구 동기 및 목표

• DDoS 공격의 주가에 미치는 영향을 측정하는 데 사용되는 전통적인 이벤트 스터디 방법의 신뢰성을 평가하기 위해, 누적 비정상 수익률이 정규분포를 따른다는 가정이 타당한지 검토한다.
• 45건의 DDoS 공격 발표에서 수집한 실증 데이터를 바탕으로, 두 가지 비모수적 방법과 한 가지 모수적 방법을 포함한 세 가지 별도의 접근 방식을 비교한다.
• 수익률 분포에 대한 가정이 사이버공격 발표에 따른 시장 영향 추정에 심각한 왜곡을 초래하는지 여부를 규명한다.
• 이전 연구에서 제기된 DDoS 공격의 시장 가치 영향에 대한 결과를 더 견고한 통계적 프레임워크를 통해 재평가하고 재확인한다.

제안 방법

• 세 가지 방법을 사용하는 접근 방식을 적용한다: 방법 1은 누적 비정상 수익률(CAR)이 정규분포를 따른다는 가정을 하고, 가설 검정에 Z-통계량을 사용한다.
• 방법 2는 수익률 분포에 대한 가정 없이 비정상 수익률 추정에 덧셈 모델을 사용하며, CAR의 경험분포에 기반한다.
• 방법 3는 수익률 추정에 곱셈 모델을 적용하고, 정규분포 가정을 피하기 위해 정의된 경험분포를 사용하여 유의성 검정을 수행한다.
• 모든 방법 간 결과를 교차표 분석을 통해 비교하여 유의성 분류(긍정적, 무효, 부정적 영향)의 격차를 확인한다.
• 시장 모델과 Fama-French 세 요인 모델을 사용하여 비정상 수익률 추정에 이벤트 스터디 방법론을 적용한다.
• 비모수적 검정을 통해 귀무가설(영향 없음) 하에서 관측된 CAR를 그 경험적 표본 분포와 비교한다.

실험 결과

연구 질문

• RQ1 누적 비정상 수익률에 정규분포 가정을 두는 것이 DDoS 공격 발표의 시장 영향에 대한 편향된 결론을 이끌어내는가?
• RQ2 경험분포 기반 비모수적 방법은 정규분포 가정이 있는 모수적 방법보다 DDoS 사건에 대한 주가 반응을 더 잘 탐지하는가?
• RQ3 정규분포 가정을 하는 방법과 하지 않는 방법 간에 유의성 분류에 체계적인 차이가 존재하는가?
• RQ4 덧셈 모델과 곱셈 모델 간의 수익률 추정 방식의 차이가 사이버보안 맥락에서 이벤트 스터디 분석 결과에 어느 정도의 영향을 미치는가?

주요 결과

• 정규분포 가정에 기반한 누적 비정상 수익률 분석은 5.77%의 경우에서 영향을 과대평가하고, 7.55%의 경우에서 과소평가하는 것으로 나타나 심각한 편향이 있음을 시사한다.
• 비모수적 방법(방법 2 및 3)은 덧셈 모델과 곱셈 모델 간에 일관된 결과를 보이며, 이는 모델 선택이 결과에 미치는 영향이 미미하다는 것을 시사한다.
• 방법 1(정규분포 가정)과 방법 3(경험분포 기반) 간에 225개 분석 기간 중 22.2%에서 유의성 분류가 상이하여 잘못된 추론의 위험이 있음을 확인한다.
• 이 연구는 ING, 노르디아, 드로이체 텔레콤, 렉스페이스 등 서비스 장애를 유발한 DDoS 공격의 경우, 특히 9일 및 11일 이벤트 윈도우에서 유의미하게 부정적인 비정상 수익률을 초래함을 확인한다.
• 반면, 비자, 마스터카드, 페이스북과 같은 기업에 대한 공격는 유의미한 시장 영향이 없었으며, 이는 이전 연구 결과와 일치하지만 더 견고한 방법론 프레임워크를 통해 재확인되었다.
• 결과적으로, 이 연구는 사이버보안 이벤트 스터디의 정확성을 향상시키기 위해 모수적 정규분포 가정을 경험분포 기반 검정으로 대체할 것을 지지한다.