공격 트리의 AND·OR를 바꾸면 막아야 할 경로가 달라진다

목표가 (A AND B) OR C라면 최소 성공 집합은 {A,B}와 {C}입니다. A 하나를 막아도 C 경로가 남으므로 목표 달성을 차단하지 못합니다.

A와 C를 함께 막으면 두 경로가 모두 사라지지만, 이 작은 Boolean 예시에는 실제 가능성·순서·공통 원인·통제 효과가 포함되지 않습니다.

트리는 가능한 조건을 드러내는 모델입니다

공격 트리나 위협 모델을 읽을 때 AND와 OR는 장식이 아니라 성공 조건입니다. AND 아래 자식이 둘이면 모두 참이어야 부모 목표가 참이고, OR 아래 자식은 어느 하나만 참이어도 목표가 참입니다. 같은 보안 목표도 조건을 어떻게 묶느냐에 따라 남는 길이 달라집니다. 그래서 방어를 검토할 때는 ‘통제를 몇 개 뒀는가’보다 목표를 만족하는 최소 조합이 무엇인지 먼저 살펴야 합니다.

NIST SP 800-154 Initial Public Draft는 데이터 중심 위협 모델링을 특정 데이터의 공격 측면과 방어 측면을 함께 분석하는 위험평가의 한 형태로 설명합니다. 다만 이 문서는 2016년 3월의 초기 공개 초안입니다. NIST는 2025년 1월 최종화 계획을 공지했지만 현재 출판 기록은 여전히 IPD이며, 이 글은 이를 최종 표준이라고 부르지 않습니다. NIST SP 800-30 Rev. 1 Final은 연방 정보시스템과 조직의 위험평가 지침입니다. 아래 Boolean 식은 개념을 연습하도록 만든 예이지 두 NIST 문서에서 그대로 가져온 공식 공격 트리 방법은 아닙니다.

목표 식을 최소 성공 집합으로 바꿉니다

가상 조직이 보관한 기밀 문서를 승인되지 않은 경로로 얻는 목표를 생각해 보겠습니다. 실제 시스템이나 공격 방법은 다루지 않습니다. 교육용으로 A는 ‘승인된 자료를 가진 두 역할의 협조’, B는 ‘해당 자료가 외부에 공개되는 조건’, C는 ‘별도의 위탁 보관 경로가 열리는 조건’이라는 추상 명제라고 정합니다. 목표는 (A AND B) OR C입니다. A와 B는 함께 필요하지만 C는 단독으로 목표를 만족시킵니다.

최소 성공 집합은 {A,B}와 {C}입니다. ‘최소’란 이 집합에서 조건 하나라도 빼면 해당 집합만으로 목표를 참으로 만들 수 없다는 뜻입니다. A를 막으면 {A,B}는 사라지지만 {C}는 그대로 남습니다. B를 막아도 C가 남습니다. 반대로 C를 제거하면 A와 B가 동시에 참이어야 하는 집합만 남습니다. A와 C를 함께 제거하면 이 모델의 모든 성공 집합을 끊고, B와 C를 함께 제거해도 같은 논리적 결과를 얻습니다.

이 계산은 ‘A 하나를 차단하면 충분한가?’라는 질문에 아니라고 답합니다. A 하나의 통제가 무용하다는 뜻은 아닙니다. A와 B를 모두 요구하는 경로를 막지만 대체 경로를 남긴다는 점을 구별해야 합니다. 실제 설계에서는 각 조건의 의미와 통제의 범위를 구체적인 자료 흐름에 맞춰 검토합니다. 예를 들어 C를 제거했다고 판단하려면 C라는 추상 명제가 현실에서 무엇을 뜻하는지, 관련된 접근·위탁·운영 절차가 모두 포함됐는지 확인해야 합니다.

작은 모델은 확률표가 아니라 가정 목록입니다

1. 분석할 자산과 보호 목표를 한 문장으로 정합니다.
2. 목표를 만족하는 하위 조건을 AND 또는 OR로 표현하고 각 조건을 확인 가능한 말로 정의합니다.
3. OR 분기에서는 각 자식 경로를 따로, AND 분기에서는 필요한 조합을 함께 적습니다.
4. 각 최소 성공 집합에서 하나씩 조건을 제거해 최소성이 맞는지 확인합니다.
5. 통제를 적용한 뒤 제거된 조건과 남은 경로를 다시 열거하고, 모델에서 빠진 원인·순서·의존성을 기록합니다.

논리적으로 성공 가능한 경로와 현실에서 자주 일어나는 경로는 같은 개념이 아닙니다. 식만으로는 각 조건의 확률, 실행 시간, 공통 자원, 관계자의 협조 가능성, 통제의 독립성을 알 수 없습니다. 위험 평가에는 영향과 가능성 같은 추가 근거가 필요합니다. 위험평가는 의사결정에 필요한 정보를 제공하는 과정이므로, 단순 경로 나열이 곧 위험값이나 우선순위가 되지는 않습니다.

회상 연습: 어느 통제가 남은 길을 끊나요

새 교육용 목표가 (P AND Q) OR R이라고 합시다. 최소 성공 집합을 쓰고, P 하나를 막았을 때 남는 집합을 답하세요. 이 Boolean 식만으로 각 경로의 발생 확률까지 알 수 있는지도 적어 보세요.

최소 성공 집합은 {P,Q}와 {R}입니다. P를 차단하면 첫 집합은 불가능해지지만 {R}가 남으므로 목표는 여전히 가능합니다. 식에는 경로가 성립할 가능성이나 조건 간 상관관계가 들어 있지 않으므로 발생 확률을 계산할 수 없습니다. 조건을 구체화하고 근거를 모은 뒤 별도의 위험평가를 해야 합니다.

공격 경로를 표현하는 목적은 모든 현실을 작은 그림으로 설명하는 데 있지 않습니다. 무엇을 가정했는지 드러내고, 통제 뒤에 남은 경로를 빠뜨리지 않도록 돕는 데 있습니다. 간단한 트리라도 식을 계산하고 남은 조건을 다시 질문하면 막연한 ‘다층 방어’ 설명보다 검토 가능한 논의가 됩니다.