에이전트 기반 사이버 복원력 측정·평가 시스템

An Agent-Based System for Cyber Resilience Assessment

Abstract

본 연구는 사이버 공격 상황에서 사이버 복원력을 정량적으로 측정·평가하기 위한 에이전트 기반 자동화 시스템을 제안한다. 제안 시스템은 공격 시나리오를 기반으로 공격 수행과 성능 지표 수집을 자동화하여 재현성을 높인다. 복원력은 복원력 곡선의 면적 값을 기반으로 산출하되, 면적 지표의 한계를 보완하기 위해 복구 시간과 서비스 불가능 임계치 위반 정도를 함께 반영하는 지표를 추가하였다. 웹서버에 대한 TCP Syn Flooding 실험에서 Throughput, TPS, CPS, CC를 측정하여 복원력을 계산한 결과, 방어 개시 시점 차이에 따른 성능 저하 및 회복 양상이 최종 복원력 점수에 반영됨을 확인하였다. 제안된 시스템은 방어 정책에 따른 복원력을 평가하여 효과를 비교·검증할 수 있게 한다.

This study proposes an agent-based automated system for quantitatively measuring and evaluating cyber resilience under cyberattack scenarios. The proposed system improves reproducibility by automating attack execution and performance metric collection based on predefined attack scenarios. Resilience is computed from the area under the resilience curve, and additional indicators that capture recovery time and violations of a service failure threshold are incorporated to address the limitations of area-based metrics. In TCP SYN flooding experiments on a web server, we measured Throughput, TPS, CPS, and CC and calculated resilience scores. The results show that the resilience score reflects differences in performance degradation and recovery behavior depending on the defense start time. The proposed system enables the effectiveness of defense policies to be compared and validated through resilience evaluation.

I. 서론

오늘날 발전하는 IT 기술의 고도화와 함께 물리·사이버 공격은 더 지능적이고 정교해졌다. 사이버 보안 기술도 발전해 왔지만 모든 공격을 사전에 완벽히 차단하는 것은 현실적으로 어려우며, 조직은 중대한 사이버 사고가 발생할 가능성을 염두에 두어야 한다[1]. 조직은 위협에 대해 사전에 대비하고 대응 계획을 수립해야 하며, 사고 발생 시에도 핵심 임무와 업무 기능을 지속해야 하고 이후 신속히 복구·적응할 수 있는 역량을 갖추어야 한다. 이에 따라, 사고 이후의 회복 능력을 확보하고, 탐지, 대응 및 복구 역량을 통합적으로 강화하는 ‘사이버 복원력(cyber resilience)’ 확보가 중요한 과제로 부상하고 있다[2].

사이버 복원력을 강화하기 위해서는 현재 수준을 진단하고, 보안 대책의 개선 효과를 객관적으로 검증할 수 있는 측정·평가 체계가 필요하다. 이를 위해 다양한 지표가 활용되며, 지표는 정량적·정성적·준정량적 등 다양한 형태를 가질 수 있다[3]. 복원력은 다양한 인프라에서 선택된 성능 지표(Performance Metrics)의 시간 경과에 따른 변화인 복원력 곡선(Resilience Curve)를 통해 설명되어 왔다[4]. 그러나, 실제 환경에 기반하여 측정하기 위해서는 인력과 비용 부담이 크다는 단점이 존재한다[5]. 이러한 한계를 보완하기 위해 에이전트 기반 모델링(Agent-Based Modeling) 방법이 연구되어 왔으나[6], 기존 연구들에서는 주로 물리적 재난 복구에 초점을 맞추거나, 공격에 대한 시스템의 복원력을 단순히 복원력 곡선에 따른 면적 값으로만 계산하여 성능 저하의 강도와 복구 속도를 구분해 평가하기 어렵다는 한계가 있다.

이에 따라, 에이전트를 활용하여 사이버 공격 상황을 자동화하고, 복원력을 정량적으로 평가할 수 있는 시스템을 제안한다. 공격 시나리오를 자동으로 수행하며, 실험을 통해 제안된 시스템의 복원력 측정 및 평가 방법의 유효성을 검증하고자 한다.

본 연구의 기여는 다음과 같다. (1) 사이버 공격 시나리오 실행-성능 지표 수집-복원력 산출을 통합한 에이전트 기반 자동화 실험 체계를 제안한다. (2) 면적 기반 지표만으로는 성능 저하·복구 시간을 구분하기 어렵다는 한계를 보완하기 위해, AUC+RT+THAUC를 결합한 복합 복원력 지표를 제시한다. (3) 실험을 통해 공격·방어 조건 변화에 따른 복원력 차이를 정량적으로 비교·검증한다.

II. 관련 연구

2.1 복원력 평가 시스템

사이버 복원력 지표는 사이버 레인지, 모델링 및 시뮬레이션, 테이블 탑 훈련, 전문가 평가 등 다양한 환경에서 측정 가능하다. 실제 환경을 반영한 훈련 기반 평가는 현실성이 높지만, 인력, 시간, 비용 부담으로 인해 반복 실험과 정량 평가에 제약이 있다. 이러한 한계를 완화하기 위해 공격자와 방어자 역할을 자동화한 에이전트 기반 훈련 시스템이 제안되었다[5].

보안 훈련 형태로는 CTF(Capture the Flag), 공격/방어, 레드팀/블루팀 등이 있으며, 공격자와 방어자의 역할이 명확히 구분된다. Muhammad의 연구에서는 시나리오를 기반으로 인프라를 구성하고, 다중 에이전트를 활용하여 자동화하였다. 각 에이전트는 오케스트레이터를 중심으로 연결되어 있다[7]. 훈련을 평가하기 위해 플래그 획득을 기준으로 점수를 채점하고 있지만, 공격에 대한 시스템의 복원력을 측정하는 지표가 포함되어 있지 않다.

모델링 및 시뮬레이션 환경에서는 시스템 구성 요소 간의 상호 작용을 표현하기 위해 에이전트 기반 모델링(Agent-Based Modeling; ABM) 기법이 활용된다[6]. Mohammad의 연구에서는 재난 이후의 복구를 학교, 가구, 사업체, 의료, 라이프라인 등 여러 시스템이 서로 영향을 주고 받는 문제로 보았으며, 이를 ABM으로 구성하여 시뮬레이션하였다. 또한, 다양한 완화 전략을 시스템별 복원력 지표를 통해 측정하고 평가한다[8]. Gloria의 연구에서는 재난으로 인해 일부 링크가 고장 난 환경에서 인프라 네트워크 복구 상황을 시뮬레이션한다. 네트워크의 노드, 링크, 복구 팀을 에이전트로 구성하였으며, 복원력을 정량화할 수 있는 지표로 복구 시간, 장애로 인한 영향 등을 수식화하였다[9].

또한 사이버-물리 시스템(Cyber-Physical System; CPS) 환경에서 복원력 향상을 위해 다중 에이전트 프레임워크를 제안한 연구도 있다. Fábio의 연구에서는 각 계층에 걸쳐 에이전트를 분산하였으며, 총 5개 그룹으로 나뉘어 특정 임무를 수행하며 시스템의 상태를 파악한다. 에이전트는 제어, 보안, 네트워크, 관리자, 마스터 등으로 이뤄져 있으며, 정상 작동, 재밍 공격, 노드 손실 상황에서 제안된 접근 방식의 타당함을 입증하였다[10].

이처럼 복원력 평가 시스템을 제안하는 연구에서는 측정 환경에 특화된 지표를 사용하며, 복원력의 특성을 반영하기 위하여 복구 관련 지표를 추가로 제안하고 있다. 또한 에이전트를 통해 시스템 구성 요소들을 자동화하는 방향으로 발전해 왔다.

2.2 복원력 정량적 측정 접근법

에이전트를 사용하여 사이버 복원력을 측정하기 위한 접근으로는 정성적 평가, 전문가의 확률적 추정, 모델링 및 시뮬레이션, 침투 테스트 등이 있다. 그러나 일부 방식은 비효율적이거나 객관적이지 않으며, 복원력의 핵심 요소인 복구와 적응 능력을 제대로 측정하지 못한다는 한계가 있다. 이에 따라, 사이버 복원력을 측정하기 위한 방법으로 성능 곡선 아래의 면적 값을 계산하는 계산법이 제안되고 있다[11].

Weisman은 차량 네트워크 환경에서의 시간에 따른 차량의 연비, 속도, 무게 등의 성능 그래프의 AUC(Area under the Curve)값을 기반으로 복원력을 정량적으로 측정하고 계산한다[12]. Madhura의 연구에서는 교란 상황에서의 시스템 응답을 정규화된 성능 측정값(Measure of performace; MOP)으로 표현하였다. MOP 곡선과 완벽한 성능 치 사이의 면적 값뿐만 아니라 시스템이 완전히 다운될 경우를 고려하여 임계값보다 낮은 상태를 유지하는 기간을 반영하였다[13]. Ouyang의 연구에서는 전력 송신망을 사례 연구로 활용하여 재난에 대한 대응 진화 단계별 효과를 정량화한다. 목표 대비 성능이 떨어지는 구간의 면적을 누적하여 복원력을 계산한다[14]. Abdollah의 연구에서는 가상의 항구 환경을 대상으로, 재난(지진) 후 성능 곡선과 재난이 일어나지 않은 기준 성능의 시간 적분(면적) 비율로 복원력을 정의하였다. 지진 시나리오에서 재난 강도를 샘플링하고, 이에 따른 손상 및 수리 요구량과 서비스 수요의 불확실성을 반영하여 성능 곡선의 면적비로 복원력을 계산하였다[15].

이처럼, 복원력을 측정하는 연구들은 시간에 따른 성능 변화를 복원력 곡선으로 표현하고, 장애 발생 전 성능과 비교하여 복원력을 계산한다. 단일 시점의 성능만으로 성능 저하의 깊이, 지속시간, 회복 속도 등을 동시에 반영하기 어렵기 때문에, 기준 성능 대비 결손을 면적으로 환산하여 하나의 지표로 통합하는 면적 기반 평가가 널리 사용된다.

다만, 복원력을 면적 값으로만 계산한다면, 서로 다른 저하·회복 양상을 가진 곡선이 동일하거나 유사한 값으로 계산될 수 있어 시스템 간 복원력을 비교하고 판단하는데 한계가 존재한다[16]. 따라서 복원력 평가에서는 면적 값과 함께 추가 지표를 반영해야 한다.

본 연구에서는 에이전트를 활용하여 사이버 공격 상황에서의 복원력을 평가하고자 한다. 공격 시나리오에 기반하여 인프라를 구성하고, 측정 환경에 특화된 성능 지표를 수집한다. 수집된 성능 지표 값을 기반으로 성능 곡선 그래프의 면적 값을 계산하며, 추가 복원력 지표를 함께 계산하여 기존 면적 값 기반 복원력 측정 기법의 한계를 극복하고자 한다.

III. 복원력 측정·평가 시스템

3.1 시스템 구성도

제안하는 에이전트 기반 시스템은 총 4개의 에이전트(Traffic Generator, Attacker, Aggregation, Resilience)로 구성된다. 오케스트레이터는 공격 시나리오에 따라 에이전트의 시작/종료 및 단계 전환을 제어하며, 시나리오 수행 과정에서 수집된 상태 로그, 성능 지표, 계산된 최종 복원력 점수를 저장하는 역할을 수행한다. 오케스트레이터와 각 에이전트 동작 순서는 Fig. 1에 나타난다.

Fig. 1. Sequence diagram of the orchestration process between agents.

에이전트는 일반 사용자들의 정상 트래픽을 발생시키는 트래픽 생성 에이전트(Traffic Generator Agent), 공격자 역할을 수행하는 공격자 에이전트 (Attacker Agent)가 기본적으로 존재한다. 복원력 측정 및 평가하기 위하여 시스템의 성능을 측정·집계하는 집계 에이전트(Aggregation Agent), 복원력 계산·보고서 생성하는 복원력 에이전트(Resilience Agent)를 추가 구성하였다.

모든 에이전트들은 2초 주기로 오케스트레이터의 API로 폴링하여 실행 명령(시작/종료/단계 전환)과 상태를 동기화 한다. 집계 에이전트는 시작 후 주기적으로 오케스트레이터에 측정된 성능 지표 값을 전송하며, 오케스트레이터는 이를 DB에 저장한다. 모든 에이전트는 시나리오가 문제없이 실행될 수 있도록 오케스트레이터에게 상태 정보를 반환하며, 반환된 정보는 DB에 저장된다. 복원력 에이전트의 경우, 시나리오가 종료된 후 모든 에이전트의 상태 정보를 확인하고, 정상적으로 종료 시 집계된 성능 측정 값을 기반으로 복원력을 계산하여 결과보고서를 생성한다.

3.2 복원력 평가 방법

본 연구는 선정된 성능 지표(i)의 시간 변화 AP_i(t)를 복원력 곡선로 표현하고, 장애 구간에서의 성능 저하 및 회복 양상을 정량화하기 위해 그래프 아래의 면적 값 기반 지표를 사용한다. 평가 구간은 장애가 시작되는 시점 t_d부터 평가 종료 시점 t_e까지이며, 정상 상태 성능 곡선을 BP_i(t)로 정의한다. 복구 완료 시점 t_r의 경우, AP_i(t)가 BP_i(t) 대비 90% 이상 회복된 상태를 일정 시간 이상 연속으로 유지하는 최초 시점으로 정의하였다.

3.2.1 면적 기반 복원력 지표

먼저, 평가 구간 [t_d, t_e]에서 공격 성능 곡선의 면적을 기준 성능의 면적으로 정규화하여 면적 기반 복원력 지표 ψ_i를 식 (1)과 같이 정의한다.

\(\begin{align}\Psi_{i}=\frac{\int_{t_{d}}^{t_{c}} A P_{i}(t) d t}{\int_{t_{d}}^{t_{c}} B P_{i}(t) d t}\end{align}\)       (1)

ψ_i은 [0,1] 범위로 해석될 수 있으며, 값이 클수록 정상 성능에 가깝게 시스템이 동작함을 의미한다. 하지만 복원력을 면적 값으로만 계산한다면 다른 복원력이 같은 능력으로 해석될 수 있다.

Fig 2는 회복 시간과 성능 저하 깊이가 서로 다른 서로 다른 4가지 복원력 곡선 예시를 보여준다. (a)-(b), (c)-(d)는 복구 시간은 동일하지만 성능 저하 깊이가 차이가 존재하며, 성능 하락 정도가 작을수록 면적 값이 크다. (a)-(d), (b)-(c)는 성능 저하 깊이가 동일하지만 복구 시간에 차이가 존재하며, 회복 시간이 작을수록 면적 값이 크다. 즉, 시간과 성능 저하 깊이 중 하나만 차이가 난다면 면적 값으로만 계산하더라도 복원력을 평가할 수 있다. 하지만, (a)와 (c)처럼 복구 시간과 성능 저하 깊이가 모두 다를 경우, 면적 값이 유사해질 수 있으며, 이 경우 복구가 빠른 시스템이 더 우수한지, 저하 깊이가 얕은 시스템이 더 우수한지 단일 지표만으로 판단하기 어렵다.

Fig. 2. Comparison of Resilience Curves based on Recovery Time and Performance Loss

사이버 보안 사고에서는 복구 시간이 단축될수록 사고로 인한 피해는 줄어들며, 복구 기간(Time-to-recover) 자체가 조직에 대한 피해를 정량화하는 하나의 지표가 될 수 있다[17-18]. 따라서 사이버 복원력을 평가·측정할 때 복구 시간을 핵심 구성 요소로 반영해야 한다.

조직에서는 사용자에게 서비스를 제공하기 위해 서비스 수준 목표치(Service Level Objective; SLO)의 상한선과 하한선을 정의함으로써 운영 과정에서 해당 목표가 유지되도록 시스템을 관리한다[19]. 시스템의 성능이 하한 임계치 아래로 떨어지게 되면 피해가 더 심각하므로 같은 면적이라도 더 낮은 복원력으로 평가되어야 한다[13].

따라서, 본 연구에서는 복구 시간과 서비스가 불가능 임계치 기반 지표를 함께 반영하여 면적 기반 단일 지표의 해석 한계를 보완하고자 한다.

3.2.2 복구 시간 지표

복구 시간이 짧을수록 복원력이 높게 평가되도록, 장애 발생 시점 t_d부터 복구 완료 시점 t_r까지의 복구 시간을 [0,1] 범위로 정규화한 뒤 1의 보완 값을 취해 값이 클수록 좋은 지표가 되도록 정의한다.

복구 시간 지표 RT_i는 식 (2)와 같다.

\(\begin{align}RT_{i} = 1- \frac{t_r - t_d}{t_e - t_d}\end{align}\)       (2)

즉, 회복이 빠를수록 RT_i가 1에 가까워지고, 회복이 늦어질수록 0에 가까워진다.

3.2.3 서비스 불가능 임계치 기반 지표

조직에서 정의한 SLO 하한선을 기준으로 성능이 서비스가 불가능한 임계치(Threshold)인 TH_i(t)을 선정한다. Fig. 3과 같이, TH_i(t) 아래로 하락한 정도와 지속시간을 CP_i(t)로 정량화 한다.

Fig. 3. Conceptual Illustration of the Proposed Resilience Scoring (AUC, RT, and THAUC)

평가 구간 [t_d, t_e]에서 AP_i(t)가 서비스 불가능 임계치 TH_i(t)를 얼마나 위반하는지 정량화하기 위해 CP_i(t)를 식(3)와 같이 정의한다.

\(\begin{align}C P_{i}(t)=\left\{\begin{array}{ll}T H_{i}(t)-A P_{i}(t), & A P_{i}(t)<T H_{i}(t) \\ 0, & A P_{i}(t) \geq T H_{i}(t)\end{array}\right.\end{align}\)       (3)

AP_i(t) < TH_i(t)인 경우 CP_i(t)는 TH_i(t) - AP_i(t)으로 계산되며, 임계치를 만족하는 구간 AP_i(t) ≥ Th_i(t)에서는 위반이 발생하지 않으므로 CP_i(t) = 0으로 설정한다.

이후 누적된 CP_i(t)의 면적 값을 계산함으로써, 성능이 임계치 이하로 하락한 깊이와 그 상태의 지속시간을 동시에 반영한다. 이를 TH_i(t)의 면적 값으로 정규화한 뒤, 클수록 높게 평가되도록 1에 보완하여 식 (4)와 같이 THAUC_i을 정의하였다.

\(\begin{align}T H A U C_{i}=1-\frac{\int_{t_{d}}^{t_{e}} C P_{i}(t) d t}{\int_{t_{d}}^{t_{e}} T H_{i}(t) d t}\end{align}\)       (4)

3.2.4 최종 복원력 점수 지표

앞 절에서 정의한 세 지표(ψ_i, RT_i, THAUC_i)는 복원력의 서로 다른 측면을 반영하며, 어느 지표를 더 우선시해야 하는지는 서비스 성격과 운영 목표에 따라 달라질 수 있다. 예를 들어, 전자상거래(E-commerce) 서비스처럼 사용자 이탈 비용이 큰 환경에서는 장애 이후 정상 수준으로의 신속한 복구가 요구 사항이 될 수 있다. 반면 산업제어(ICS)와 같이 안전이 중요한 시스템에서는 서비스가 일시적으로 지연되더라도 서비스 불가능 임계치 이하로 저하되지 않는 것이 최우선 요구사항이 될 수 있다. 이처럼 우선순위가 상황에 따라 달라질 수 있으므로, 본 연구에서는 특정 관점을 과도하게 반영하지 않기 위해 세 지표를 동일 가중치로 산술평균 결합하여 식 (5)와 같이 최종 복원력 점수를 산출하였다.

\(\begin{align}R_{i}=\frac{\Psi_{i}+R T_{i}+T H A U C_{i}}{3}\end{align}\)       (5)

세 지표는 모두 [0,1] 범위로 정규화되었으며 값이 클수록 복원력이 우수함을 의미한다.

IV. 실험

4.1 공격 시나리오

본 연구의 공격 시나리오는 MITRE의 ATT&CK Technique 중 하나인 Endpoint Denial of Service (T1499)를 기반으로[20], TCP SYN Flooding 공격과 그에 대한 방어 상황을 재현하였다. 복원력을 측정할 대상은 Nginx 기반 웹서버로, wrk를 통해 정상 트래픽을 생성하였다.

실험은 총 15분간 진행되었으며, 방어 개시 시점의 차이에 따른 복원력의 변화를 비교하기 위해 세가지 시나리오(a, b, c)를 구성하였다. 세 시나리오 모두 동일한 조건의 공격 트래픽을 발생시켰으며, 초당 패킷 수(PPS)는 실험 시작 후 5초 간격으로 약 3%씩 증가하여 약 25,000pps까지 도달하도록 설정하였다. 공격에 대한 방어 기법으로는 tcp.syncookies를 적용하였다. 이는 RFC 4987에서 권장하는 대응 메커니즘 중 하나로, 서버의 TCP 연결 큐고갈을 방지하는 효과가 있다[21]. Table 1은 두 시나리오에서 각 에이전트 시작 및 종료 시점을 정리한 것이다.

Table 1. Start and End Times of Each Agent in Scenarios (a), (b) and (c)

복구 완료 시간의 경우 AP_i(t)가 BP_i(t)대비 90% 이상 회복된 상태를 30초 이상 유지하였을 때의 최초 시점으로 설정하였다. 공격 에이전트가 시작된 뒤 약 3초 후 공격 트래픽이 급증하면서 웹페이지 접근이 어려워져 사용자가 서비스를 정상적으로 이용할 수 없는 상태가 관측되었다. 이 시점에서 각 성능 지표는 baseline 대비 Throughput 10.38%, TPS 10.33%, CPS 10.99%, CC 5.88% 수준으로 하락하였다. 이에 따라 본 실험에서는 서비스 불가능 상태가 관측된 시점의 성능 저하 수준을 근거로 하여 서비스 불가능 임계치 TH_i(t)를 baseline 대비 10%로 설정하였다. 또한 TH_i(t) 경우, 각 실험 시나리오를 비교하기 위해 모든 지표에 동일한 기준(10%)을 적용하였다. 실제 운영 환경에서는 기관마다 운영 환경, 서비스 특성 등이 상이하므로 공격 상황에서 서비스 불가능 상태를 판정하는 임계치를 사전에 정의할 필요가 있다. 다만, 서비스 불가능 임계치 기준을 지나치게 낮게 설정할 경우, 실제 복원력과 달리 복원력 점수가 과대평가 될 수 있다는 한계를 가진다.

4.2 실험 환경

실험은 Intel® Xeon® Gold 6426Y CPU(16코어, 2소켓, 총 32 물리 코어)를 장착한 서버 4대에서 수행되었으며, 하이퍼스레딩이 활성화되어 총 64개의 논리 프로세서를 지원한다. Fig 4의 Test Master Server는 오케스트레이터·DB를 포함하며, 실험 시나리오에 따른 작업 할당·스케줄링과 로그 수집 및 저장을 담당한다.

Fig. 4. Architecture of the Proposed Agent-based Cyber Resilience Assessment System

Test Executor 1-3은 트래픽 생성, 공격 실행, 성능 지표 수집 에이전트를 실행하고 측정 로그를 Master로 전송한다. Test Executor 1, 2, 3과 Test Master Server 모두 동일한 하드웨어 환경에서 동작하였다. 오케스트레이터는 Node.js 기반의 API 서버로 구현되었고, MySQL 데이터베이스를 구축하여 각 에이전트의 상태 로그, Metrics 로그, Resilience 로그를 저장하였다

4.3 측정 성능 지표

웹서버의 성능을 측정하기 위한 지표로 Throughput, TPS, CPS, CC를 선정하였다. Throughput과 TPS는 웹서버의 성능을 측정하기 위한 지표로 사용되어 왔다[22]. CPS와 CC는 본래 방화벽의 성능 지표지만 [23], TCP 기반으로 서비스를 제공하는 웹서버에서도 연결의 상태가 안정적인 운영에 중요한 요소이기 때문에 측정 지표로 포함했다.

집계 에이전트가 Nginx 웹서버에서 성능 지표를 수집하기 위해 Table 2에 정의된 access.log와 stub_status의 값을 파싱하여 사용하였다.

Table 2. Definitions of Collected Nginx Data Fields

지표는 Nginx 연결 관련 로그를 1초 단위로 계산하였으며, Table 3와 같이 정의하였다.

Table 3. Definitions and Calculation Methods of Performance Metrics

수집된 원시 데이터는 JSONL 형식으로 저장되며, 이후 복원력 에이전트가 최종 복원력 점수를 계산한다.

4.4 측정 결과

웹서버 환경에서 공격 시나리오 실행한 성능 지표의 그래프는 Fig. 5이다. 파란색 그래프는 시나리오(a), 붉은색 그래프는 시나리오(b), 주황색 그래프는 시나리오(c) 이다.

Fig. 5. Comparison of Measured Performance Metrics by Attack Scenarios.

시나리오는 (a), (b), (c) 순으로 방어를 빨리 시작하기 때문에 더 빠르게 회복하였다. 모든 성능 지표가 서비스 불가능 임계치 TH_i(t) 이하로 떨어졌으며, CPS와 TPS의 경우, 공격 초반 순간적으로 연결 요청이 급증하였다.

성능 지표 측정값에 따른 결과는 Table 4이다. 시나리오(a)의 복구 시간 RT_i는 0.71이며, 시나리오(b)는 0.426, 시나리오(c)는 0.235이다. 시나리오 (b)와 (c)는 (a)에 비해 더 늦게 회복되어 장기간 시스템이 공격에 노출되었기 때문에 THAUC_i 값이 0.1~0.2 더 하락된 결과를 보였다.

Table 4. AUC and Resilience Scores for Scenarios (a), (b) and (c)

세 시나리오 모두 성능 지표 중 Throughput이 가장 낮은 R_i값을 가지고 있다. 가장 낮은 값이 해당시스템의 서비스에 대한 피해를 보다 세밀하게 반영할 수 있으므로 Throughput을 최종 복원력 점수로 선정하였다. 시나리오(a)의 R값은 0.754, 시나리오(b)의 R값은 0.493, 시나리오(b)의 R값은 0.283이며, 방어 시작 시간을 가장 늦게 시작한 시나리오(c)의 최종 복원력 점수가 낮게 측정되는 결과를 확인하였다. 즉, 방어 시간에 따른 복구 능력을 본 연구에서 제시한 계산 방법이 잘 반영하고 있음을 보여준다.

V. 결론

본 연구에서는 사이버 복원력을 정량적으로 측정하고 평가하기 위해 에이전트 기반 시스템을 제안한다. 제안된 시스템은 주어진 시나리오하에 사이버 공격 상황을 자동으로 수행함으로써, 복원력 평가에 소요되는 시간과 인력 부담을 줄이고 반복 실험의 재현성을 높였다.

사이버 복원력 평가는 성능 지표의 시간 변화로부터 복원력 곡선을 구성하고, 기존 면적(AUC) 기반 접근을 토대로 정량화하였다. 또한 면적 기반 단일지표의 해석 모호성을 완화하기 위해 복구 시간과 서비스 불가능 임계치 위반 정도를 추가로 반영하는 지표를 함께 산출하였다. 이를 통해 성능 저하의 지속시간, 복구 시간, 임계 수준 이하로의 하락을 동시에 고려하는 최종 복원력 점수를 도출하였다.

실험은 웹서비스를 제공하는 시스템을 대상으로 TCP Syn Flooding 공격을 진행하였으며, 해당 시스템에서 사용되는 성능 지표인 Throughput, TPS, CPS, CC를 측정하여 사이버 복원력을 계산하였다. 방어 개시 시점을 달리한 세 시나리오를 비교한 결과, 제안된 시스템이 방어 적용 시점에 따른 성능 저하 및 회복 양상을 최종 복원력 점수에 반영함을 확인하였다.

다만, 본 연구는 실제 침해사고에서 나타나는 복합 공격 절차를 반영하지 않았으며, 단일 공격 유형(TCP Syn Flooding)과 단일 방어 기법(syncookies)에 국한되어 있다는 한계를 가진다. 향후에는 제안하는 시스템의 공격 에이전트 시나리오 모듈을 확장하여 UDP Flood, HTTP Flood 등 다양한 DoS 공격 유형을 포함할 계획이다. 또한 실제 공격 사례를 기반으로 시나리오를 재점검하고, 포트 스캐닝과 같은 선행 단계를 포함하며 공격 횟수·지속시간·패턴 등을 변형하여 다단계 복합 공격 시나리오로 확장할 예정이다.