[논문 리뷰] Security, Availability, and Multiple Information Sources: Exploring Update Behavior of System Administrators

Christian Tiefenau, Maximilian Häring외 2명|arXiv (Cornell University)|2020. 07. 17.

Information and Cyber Security참고 문헌 52인용 수 6

한 줄 요약

이 혼합 방법 연구는 기업 환경에서 시스템 관리자의 업데이트 행동을 조사하여, 심지어 경험이 많은 관리자들도 업데이트의 결과를 예측하고 정지 시간을 방지하는 데 어려움을 겪는 것으로 드러났다. 보안을 위해 업데이트가 필수적임을 인식하고도, 정보 출처가 신뢰할 수 없고, 제조사 문서가 부족하며, 동료 네트워크에 의존함으로써 업데이트를 지연하거나 피하는 경향이 있어, 대규모 IT 보안을 향상시키기 위해 더 사용자 친화적인 모니터링 및 업데이트 도구가 필요하다는 점을 시사한다.

ABSTRACT

Experts agree that keeping systems up to date is a powerful security measure. Previous work found that users sometimes explicitly refrain from performing timely updates, e.g., due to bad experiences which has a negative impact on end-user security. Another important user group has been investigated less extensively: system administrators, who are responsible for keeping complex and heterogeneous system landscapes available and secure. In this paper, we sought to understand administrators' behavior, experiences, and attitudes regarding updates in a corporate environment. Based on the results of an interview study, we developed an online survey and quantified common practices and obstacles (e.g., downtime or lack of information about updates). The findings indicate that even experienced administrators struggle with update processes as the consequences of an update are sometimes hard to assess. Therefore, we argue that more usable monitoring and update processes are essential to guarantee IT security at scale.

연구 동기 및 목표

• 기업 환경에서 시스템 관리자가 소프트웨어 업데이트 과정 동안 경험하고, 인식하며, 어떻게 행동하는지 이해하기.
• 관리자들이 보안 위험을 인지하고도도 업데이트를 적시에 효과적으로 수행하지 못하게 하는 주요 장애 요인을 특정하기.
• 특히 제조사 외의 채널인 동료 네트워크나 온라인 커뮤니티와 같은 다수의 정보 출처가 업데이트 결정에 어떤 영향을 미치는지 탐색하기.
• 전문가의 권고와 실제 업데이트 관행 사이의 격차를 평가하기.
• 대규모 IT 보안을 향상시키기 위해 업데이트 워크플로우와 도구를 개선하기 위한 실질적인 통찰 제공하기.

제안 방법

• 업데이트 경험, 과제, 정보 출처를 탐구하기 위해 시스템 관리자 7명을 대상으로 깊이 있는 반구조화된 정성적 인터뷰를 실시하였다.
• 인터뷰 결과를 바탕으로 온라인 설문지를 개발하여, 업데이트 관행과 장애 요인의 일반화 가능성을 검증하기 위해 유효한 응답 67건을 수집하였다.
• 인터뷰 녹취록을 토대로 주제 분석을 수행하여 반복되는 과제, 대처 전략, 정보 탐색 행동을 식별하였다.
• 설문 데이터를 기술 통계를 사용하여 정량적으로 분석하여 정지 시간, 문서 부족, 업데이트 내용의 모호성과 같은 장애 요인의 빈도와 영향을 평가하였다.
• 관리자들이 자가 보고한 행동을 전문가 권고와 비교하여 업데이트 관행의 부합되지 않는 점을 규명하였다.
• 자기 보고 데이터의 신뢰성과 대표성을 평가하였으며, 자기 선택 편향 및 기억 편향과 같은 한계점을 인정하였다.

실험 결과

연구 질문

• RQ1 시스템 관리자들은 기업 환경에서 시스템 업데이트와 관련된 위험을 어떻게 인식하고 관리하는가?
• RQ2 업데이트를 적용할지, 언제 적용할지를 결정할 때 관리자들이 어떤 정보 출처에 의존하는가? 이는 공식 제조사 출처와 비교해 어떻게 다른가?
• RQ3 업데이트를 적시에 수행하지 못하게 막는 가장 중요한 장애 요인은 무엇이며, 이는 다양한 조직 환경에서 어떻게 다를 수 있는가?
• RQ4 관리자들은 제조사에서 제공하는 업데이트 정보를 어느 정도 신뢰하거나 불신하는가? 이러한 결정에 영향을 미치는 요인은 무엇인가?
• RQ5 과거 업데이트 경험은 관리자의 현재 업데이트 행동과 태도에 어떻게 영향을 미치는가?

주요 결과

• 경험이 많은 시스템 관리자들조차도 업데이트의 직접적인 결과, 특히 시스템 가용성과 안정성에 대해 예측하기 어려운 것으로 나타났다.
• 정지 시간에 대한 우려가 업데이트를 적시에 수행하지 못하게 하는 주요 장애 요인으로 작용하며, 설문 응답자의 67퍼센트가 이를 업데이트 지연의 주요 이유로 지목했다.
• 소프트웨어 제조사에서 제공하는 문서가 부족하거나 모호하기 때문에, 관리자들은 종종 온라인 포럼, 동료 네트워크, 커뮤니티 보고서와 같은 비공식적 출처에 의존한다.
• 세부적인 업데이트 정보가 부족(예: 무엇이 변경되었는지, 어떤 구성 요소가 영향을 받는지)할 경우, 관리자들은 주저하게 되고 업데이트를 건너뛸 위험이 증가한다.
• 많은 수의 관리자들이 부정적인 과거 경험(예: 시스템 고장, 예기치 않은 설정 변경) 이후 업데이트를 피하는 것으로 보고했다.
• 보안을 위해 업데이트가 중요하다는 점을 인식하고도, 인식된 위험과 상황 인식 도구의 부족으로 인해 많은 관리자들이 패치를 지연하거나 생략한다.