사이버 작전 정량화 모델 시뮬레이터

CVSS v4.0 변수 입력

공격 벡터 (AV: Attack Vector)

공격 도구 성숙도 (E: Exploit Maturity)

공격 복잡도 (AC: Attack Complexity)

사용자 상호작용 (UI: User Interaction)

요구 권한 수준 (PR: Privileges Required)

조직 보안 요구도 (CR / IR / AR)

고급 설정 (상수 및 공격 전·후 기준값)

환경 상수 C₁

총 시간 t_p

공격 전 탐지 실패율 ε²

공격 전 탐지·분석 시간 t_ab

공격 후 값은 논문과 같이 ε_a² = PR 값, t_aa = t_at로 자동 적용됩니다.

평가 결과

공격 성공률 p_a

–

식 (4)

사이버 작전 승수 α′

–

식 (5)

효과 승수 K′

–

= (1 − p_a)²

잔존 전투력–

중간 매개변수 (표 4)

사이버 공격 농도 d_a = AV × E–

공격 확산 속도 v_a = AC × UI–

탐지 실패율 ε_a² = PR–

공격 지속 시간 t_at = 1 / (CR·IR·AR)–

아군 생존확률 p_c = 1 − p_a–

변수를 선택하거나 프리셋을 누르면 결과가 계산됩니다.

논문 사례 결과 대조

사례	p_a (논문)	p_a (데모)	K′ (논문)	K′ (데모)

p_a와 K′는 논문 표 6·8 및 본문 수치와 일치합니다. 논문 본문의 효과 승수(0.599, 0.461)는 (1 − p_a)²와 정확히 같아 이를 재현식으로 사용했습니다. α′는 식 (5)를 그대로 계산한 값입니다(p에는 생존확률 p_c 적용). 논문 기준값(t_p = t_aa = 1.0)에서는 식 (5)의 둘째 항이 0이 되어 α′ = 1/p가 되므로, 논문에 보고된 −51.88은 제시된 식과 기준값으로는 재현되지 않습니다.

논문 내용 확인 결과

사이버 작전 승수 α′(−51.88)의 재현 불가: 논문 기준값(t_p = 1.0, t_aa = 1.0)을 식 (5)에 넣으면 분모의 둘째 항이 0이 되어 α′ = 1/p가 됩니다. p가 확률이면 α′는 1보다 큰 양수여야 하므로 음수 −51.88은 나올 수 없습니다. 또한 두 사례의 p_a가 다른데 α′가 똑같이 −51.88인 것도 식과 맞지 않습니다. 본문의 "공격 시 α′는 1보다 작아진다"는 설명과도 어긋납니다.
효과 승수 K′의 산출 경로: 보고된 K′(0.599, 0.461)는 (1 − p_a)²와 소수 셋째 자리까지 일치합니다. 아군 전력이 (1 − p_a)배로 줄고 적 항(M′)이 0일 때의 란체스터 제곱 법칙 형태입니다. 반면 식 (6)은 α′와 N′, M′로 정의되어 있고, N′·M′ 값은 제시되지 않았으며, α′ = −51.88을 넣으면 K′는 음수가 됩니다. 실제 사용한 식을 본문에 명시해야 합니다.
"CVSS v4.0" 표기와 실제 가중치: CVSS v4.0은 메트릭별 숫자 가중치를 곱하지 않고 MacroVector 조합표로 점수를 냅니다. 논문에 쓰인 AV(0.85/0.62/0.55/0.2), AC(0.77/0.44), E(1.0/0.94/0.91), CR·IR·AR(1.5/1.0/0.5)은 CVSS v3.1의 가중치입니다. UI "Passive"는 v4.0 용어지만 0.70이라는 값은 어느 버전에도 없습니다.
표 4의 값 배치: 표 4에서 E 값(1.0/0.94/0.91)이 공격 확산 속도 v_a 행에, AC 값(0.77/0.44)이 탐지 실패율 ε 행에 들어가 있는 등 계산식과 메트릭 값이 어긋나 있습니다. 사례 계산에 쓴 UI(None 0.85)와 PR(None 0.85)의 값 체계는 표에 없습니다. 참고로 v3.1의 PR 가중치는 None 0.85, Low 0.62, High 0.27입니다.
사례 비교 결과(1.4배)의 해석: 두 사례는 v_a(0.655), ε²(0.85), t_at(1.0)가 모두 같고 사이버 공격 농도 d_a만 다릅니다. 따라서 "네트워크 공격이 1.4배 높다"는 결과는 AV 값 차이(0.85 대 0.525)를 그대로 옮긴 것에 가깝습니다. 실제 피해 규모와 대조하지 않았으므로 모델 검증이라고 보기는 어렵습니다.
공격 지속 시간 t_at의 범위: t_at = 1/(CR·IR·AR)이므로 보안 요구도 Low(0.5)이면 t_at = 2.0이 됩니다. 이는 "최대값 1.0", "총 시간 t_p = 1.0으로 정규화"라는 설정을 넘어서고, 이 경우 식 (5)의 (t_p − t_aa)가 음수가 됩니다. 또 Stuxnet은 "장기간 지속"을 반영했다면서 Medium(1.0)을 적용해 근거와 값이 연결되지 않습니다.
CVE 대응의 정확성: 표 5의 CVE-2010-2743은 작업 스케줄러가 아니라 win32k 키보드 레이아웃 권한 상승(MS10-073)이며, 작업 스케줄러 취약점은 CVE-2010-3338(MS10-092)입니다. "PRC"는 RPC의 오기입니다. 표 7에서 NotPetya의 최초 침투는 M.E.Doc 업데이트 서버 장악(공급망)이어서 CVE-2017-0199와 직접 관련이 없습니다. NotPetya는 PLC를 변조하지 않았으므로(MBR 덮어쓰기·파일 암호화) "PLC Code Change" 행도 사실과 다릅니다.
CVSS 영향 메트릭의 미사용: 표 2에 VC·VI·VA(취약 시스템의 기밀성·무결성·가용성 영향)를 정리했지만 정량화 식에는 쓰이지 않습니다. C2 기능 저하를 다루는 모델에서 영향 메트릭이 빠진 이유를 설명할 필요가 있습니다. "Vulnerability Confidence"라는 명칭도 v4.0 정의(Vulnerable System Confidentiality)와 다릅니다.

현재 관점에서의 보완점

CVSS v4.0의 실제 구조 반영: v4.0을 쓰려면 MacroVector 점수나 공식 계산기 결과를 정규화해 매개변수로 쓰고, v3.1 가중치를 쓰려면 그렇게 명시해야 합니다. v4.0의 후속 시스템 영향(SC·SI·SA)은 취약 시스템에서 C2 체계로 번지는 피해를 표현하기에 잘 맞는 지표입니다.
경험적 데이터와의 결합: 공격 농도의 "실제 악용 가능성"은 CVSS E 값 대신 EPSS(악용 예측 확률)나 CISA KEV(실제 악용 취약점 목록)로 보강할 수 있습니다. 탐지 실패율과 지속 시간도 사고 보고서의 체류 시간(dwell time) 통계처럼 관측값에 근거하면 객관성이 높아집니다.
공격 단계와 기법 체계: CWE·CVE만으로는 침투-확산-실행 단계의 행위가 드러나지 않습니다. MITRE ATT&CK for ICS / Enterprise 기법으로 단계를 매핑하면 단계별 탐지 실패율을 따로 두고 연쇄 확률로 계산할 수 있습니다.
동적 확산 모델: 현재 식은 정적 곱셈 구조라 시간에 따른 피해 누적을 표현하지 못합니다. 네트워크 토폴로지 위의 전염병 모델(SIR 등)이나 공격 그래프로 확산 속도를 모의하면, 구성모의 훈련의 시간 진행과 자연스럽게 연동됩니다.
방어 측 행동의 포함: 패치, 망 분리, 격리, 백업 복구 같은 방어 조치가 변수에 없어 훈련생이 사이버 대응을 연습할 수 없습니다. 방어 행동이 p_a와 t_at를 낮추는 경로를 넣어야 양측 대항 훈련 모델이 됩니다.
민감도·불확실성 분석: C₁ = 1.0과 정규화 기준값(0.10, 0.20, 1.0)이 결과를 크게 좌우하는데 근거가 일반적 운영 기준으로만 제시됩니다. 매개변수에 분포를 주고 몬테카를로로 결과 구간을 보이거나, 전문가 판단(델파이 등)으로 기준값을 보정하면 신뢰성이 높아집니다.
C2 관련 사례 추가: Stuxnet과 NotPetya는 산업 시설·민간 기업 사례라 군 C2 저하와 직접 연결이 약합니다. 2022년 Viasat KA-SAT 위성 통신망 공격처럼 군 지휘통신에 실제 영향을 준 사례, 2015·2016년 우크라이나 전력망 공격을 추가하면 모델의 적용 범위를 검증할 수 있습니다.
구성모의 체계와의 연동: 효과 승수 K′를 기존 교전 모델(란체스터 계수, 표적 획득 확률, 지휘 지연 시간 등)의 어떤 변수에 어떤 주기로 반영할지, HLA·DIS 연동 시 어떤 객체·상호작용으로 표현할지 정의하면 실제 훈련 모델 적용으로 이어갈 수 있습니다.

수업 토의 질문