[논문 리뷰] Semi-Automated Threat Modeling of Cloud-Based Systems Through Extracting Software Architecture from Configuration and Network Flow

Nicholas Pecka, Lotfi ben Othmane외 2명|arXiv (Cornell University)|2026. 03. 23.

Information and Cyber Security인용 수 0

한 줄 요약

이 논문은 런타임 관찰 주도 방법을 도입하여 아키텍처를 추론하고 지속적이며 플랫폼에 구애받지 않는 위협 모델링을 클라우드 기반 시스템에 대해 수행하며, ML 위협을 포함합니다. 그것은 bare metal, Kubernetes, AWS 전반에서 17개의 삽입 위협을 모두 탐지하여 정적 스캐너보다 우수합니다.

ABSTRACT

Traditional threat modeling occurs during design, but cloud deployments introduce unanticipated threats, especially multi-stage attacks chaining vulnerabilities across trust boundaries. Existing security tools analyze components in isolation, cannot detect architectural threats from system composition, and cannot validate runtime behavior against configured policies. This gap leaves organizations vulnerable to attacks exploiting architectural weaknesses. This paper addresses this gap through a key innovation: automatically inferring system architecture from runtime observations to enable continuous threat modeling. Our methodology combines static configuration analysis with observed network flows to construct architecture graphs reflecting actual operational behavior, then applies systematic threat detection using platform-agnostic abstractions (components, domains, interfaces, access policies, flows). This enables consistent threat identification across bare metal, Kubernetes, and cloud infrastructure without manual diagram maintenance. We validate the methodology using a supply-chain system with ML components deployed on all three platforms, injecting 17 infrastructure and ML threats. Results show detection of all 17 threat types across all platforms, while existing security tools detected only 6-47% with zero ML threat coverage, confirming the necessity of runtime aware, architecture-level threat analysis.

연구 동기 및 목표

• 런타임 동작과 아키텍처 위협을 고려한 지속적 위협 모델링의 필요성을 제시한다.
• 정적 구성과 런타임 네트워크 흐름으로부터 시스템 아키텍처를 추론하는 플랫폼에 독립적인 방법을 제안한다.
• 추론된 아키텍처를 확립된 위협 모델링 구성으로 매핑하고 아키텍처 위협을 식별한다.
• 자동화된 플랫폼 특화 완화 계획 및 복구 산출물을 가능하게 한다.
• bare metal, Kubernetes, AWS에 배포된 공급망/ML-enabled CI/CD 시스템을 사용하여 크로스 플랫폼 일반화를 평가한다.

제안 방법

• 정적 구성 데이터와 관찰된 네트워크 흐름을 통합하여 런타임 관찰로부터 아키텍처를 추론하고 아키텍처 그래프를 구축한다.
• 도메인, 구성요소, 인터페이스, 정책, 흐름, 신뢰 경계와 같은 플랫폼-독립적 구성으로 시스템을 표현한다.
• 아키텍처 그래프를 위협 모델링 구성으로 매핑하고 위협 프레임워크(STRIDE, MITRE ATT&CK, OWASP ML/LLM Top 10)를 적용하여 위협을 식별한다.
• 알려진 취약점 및 위협 인텔리전스 피드와 아키텍처 위협을 상관분석하여 결과를 보강한다.
• 위험 점수, 조직 정책, 위협-완화 지식 기반을 사용하여 위협의 우선순위를 매기고 자동화된 수정 구성을 생성한다.
• 구성과 런타임 동작의 변화에 따라 파이프라인을 지속적으로 운영한다.

실험 결과

연구 질문

• RQ1 다양한 배포 플랫폼에서 런타임 관찰과 정적 구성으로부터 아키텍처를 신뢰성 있게 추론할 수 있는가?
• RQ2 플랫폼-독립적 추상화가 bare metal, Kubernetes, 클라우드 환경 전반에서 균일한 위협 탐지를 가능하게 하는가?
• RQ3 ML/AI-특정 위협이 다양한 인프라에서 플랫폼-독립적 위협 탐지 패턴으로 탐지될 수 있는가?
• RQ4 런타임 인식 위협 모델링이 아키텍처 위협의 커버리지 측면에서 정적 IaC/CSPM 도구와 어떻게 비교되는가?
• RQ5 각 플랫폼에서 실행 가능한 자동화된 완화 조치를 무엇인가 제시할 수 있는가?

주요 결과

• 방법론은 bare-metal, Kubernetes, AWS 전반에서 17가지 도입된 위협 유형을 모두 탐지했다.
• 기존의 IaC 스캐너 및 CSPM 도구는 위협의 6-47%만 탐지했고 ML 위협 탐지는 전혀 커버하지 못했다.
• ML-특정 위협(T11-T17)은 플랫폼에 구애받지 않는 탐지 패턴으로 세 플랫폼에서 모두 탐지되었다.
• 플랫폼 간에는 bare-metal에서 49개의 위협 인스턴스, Kubernetes에서 47개, AWS에서 모든 17개 위협 유형이 탐지되어 크로스 플랫폼 일반화를 보여주었다.
• 가능한 경우 자동화된 수정 구성으로 실행 가능한 완화 계획을 제공한다.