[논문 리뷰] Risky Business: Assessing Security with External Measurements

Ben Edwards, Jay Jacobs외 1명|arXiv (Cornell University)|2019. 04. 24.

Network Security and Intrusion Detection참고 문헌 50인용 수 7

한 줄 요약

이 논문은 네트워크 수준의 위험 요소—예를 들어 잘못 설정된 TLS 서비스, 공개적으로 노출된 비보안 프로토콜, 피어 투 피어 파일 공유 등—을 분석하고 실제 봇넷 감염률과 연관지켜 조직의 보안 위험을 객관적으로 평가하는 데이터 기반 외부 측정 방법을 제안한다. 2015년 동안 37,000개의 조직에서 수집한 32억 건의 네트워크 측정 데이터를 바탕으로 한 연구는 이러한 위험 요소와 봇넷 유포 확률 사이에 강력한 통계적 상관관계를 발견하였으며, 피어 투 피어 활동은 감염 농도를 318배 높이는 것으로 나타났다. 이는 기존 감사 방식에 비해 비침습적이고 정량적인 대안을 제공한다.

ABSTRACT

Security practices in large organizations are notoriously difficult to assess. The challenge only increases when organizations turn to third parties to provide technology and business services, which typically require tight network integration and sharing of confidential data, potentially increasing the organization's attack surface. The security maturity of an organization describes how well it mitigates known risks and responds to new threats. Today, maturity is typically assessed with audits and questionnaires, which are difficult to quantify, lack objectivity, and may not reflect current threats. This paper demonstrates how external measurement of an organization can be used to assess the relative quality of security among organizations. Using a large dataset from BitSight(www.bitsight.com), a cybersecurity ratings company, containing 3.2 billion measurements spanning nearly 37,000 organizations collected during calendar year 2015, we show how per-organizational "risk vectors" can be constructed that may be related to an organization's overall security posture, or maturity. Using statistical analysis, we then study the correlation between the risk vectors and botnet infections. For example, we find that misconfigured TLS services, publicly available unsecured protocols, and the use of peer-to-peer file sharing correlate with organizations that have increased rates of botnet infections. We argue that the methodology used to identify these correlations can easily be applied to other data to provide a growing picture of organizational security using external measurement.

연구 동기 및 목표

• 감사 및 설문지와 같은 주관적이고 자가 보고 기반의 보안 평가 방식의 한계를 해결하기 위해, 객관성이 떨어지고 실제 위협을 반영하지 못하는 문제를 해결한다.
• 외부에서 관찰 가능한 네트워크 데이터를 활용해 조직의 보안 성숙도를 정량적이고 비침습적으로 평가할 수 있는 방법을 개발한다.
• 가상의 취약성 대신 실제 보안 사고(예: 봇넷 감염)와 관련된 특정하고 측정 가능한 위험 요소를 규명한다.
• 통계적 분석을 통해 외부 네트워크 측정 데이터를 분석할 경우 다양한 조직 유형 간 조직의 보안 포지셔닝에 의미 있는 패턴을 드러낼 수 있음을 입증한다.
• 제3자 위험 평가 및 외주 및 파트너십 결정을 위한 확장 가능한 데이터 기반 프레임워크를 제공한다.

제안 방법

• 특정 기관과 연결된 IP 주소 공간을 정확하고 독창적인 절차를 통해 매핑하여 네트워크 이벤트를 특정 기관과 연관지운다.
• 대규모 인터넷 스캐닝을 통해 잘못 설정된 TLS 서비스, 공개적으로 접근 가능한 비보안 프로토콜, 피어 투 피어 파일 공유와 같은 외부 위험 요소를 측정한다.
• 외부 관측 자료를 활용해 봇넷 감염 데이터를 수집하고 정규화하며, 조직 규모에 따라 정규화하여 기관 간 비교를 가능하게 한다.
• 선형 회귀 및 통계 모델링을 적용하여 위험 요소와 조직 간 봇넷 감염 빈도 간의 관계를 정량화한다.
• 산업 등급 등 조직 유형별로 분할하여 위험 요소의 영향이 다양한 조직 유형 간에 어떻게 다를지 분석한다.
• 2015년 동안 수집한 약 37,000개의 조직에서 32억 건의 네트워크 이벤트 데이터를 활용해 통계 모델을 학습하고 검증한다.

실험 결과

연구 질문

• RQ1 외부 네트워크 위험 요소, 예를 들어 잘못 설정된 TLS 서비스가 실제 봇넷 감염률과 어느 정도 상관관계가 있는가?
• RQ2 피어 투 피어 파일 공유나 비보안 프로토콜과 같은 특정 위험 요소의 영향은 다양한 조직 유형 간에 어떻게 다를까?
• RQ3 외부에서 객관적으로 측정한 네트워크 행동은 기존 감사나 설문지보다 더 정확하고 정량적인 조직의 보안 성숙도 평가를 가능하게 하는가?
• RQ4 관측 가능한 네트워크 설정 오류와 실제 조직에서의 봇넷 감염 빈도 간의 관계 크기는 어느 정도인가?
• RQ5 일부 위험 요소는 다양한 산업 전반에서 일관되게 높은 감염률을 예측하는가, 아니면 특정 부문에 국한된 상관관계인가?

주요 결과

• BitTorrent를 통한 피어 투 피어 파일 공유를 하는 조직은 그렇지 않은 조직에 비해 평균적으로 봇넷 감염 농도가 318배 높았다.
• 잘못 설정된 TLS 서비스와 공개적으로 접근 가능한 비보안 프로토콜은 다양한 조직 유형에서 봇넷 감염률 증가와 통계적으로 유의미하게 상관관계가 있었다.
• 조직 규모를 정규화한 후에도 위험 요소와 봇넷 감염 간 상관관계는 유의미하게 유지되어 강력한 관계를 시사했다.
• 모든 세 가지 위험 요소가 감염과 전반적으로 상관관계가 있었지만, 각각의 영향력은 산업 부문에 따라 크게 달라졌으며, 일부 요소는 특정 부문에서만 유의미했다.
• 90%의 조직이 낮은 봇넷 감염률(12명당 1건 이하)을 보였지만, 감염 수준은 수개의 주기수에 걸쳐 다양하게 퍼져 있어 보안 포지셔닝의 극단적인 변동성을 보였다.
• 본 연구는 외부 네트워크 측정 데이터의 통계적 분석이 자가 보고나 침습적인 내부 감사에 의존하지 않고도 의미 있는 정량적 위험 패턴을 식별할 수 있음을 입증했다.