개요

위협(Threat)과 리스크(Risk)은 어떻게 정의할 수 있는가를 정리해본다.

상세

위협은 어느 보안 이론에서 사용되냐에 따라 정의가 달라지는 것 같다.

전통적인 보안 이론에서 위협의 정의

예를 들어 전통적인 보안 이론에서 위협은 정보자산에 손실을 만드는 직접적인 요인으로 정의하곤 한다. 상세하게는 천재지변이나 장비 고장과 같은 환경적 요인부터, 시스템 조작 미스나 의도적인 내부 범행, 외부로터의 사이버 공격(멀웨어, 랜섬웨어, 피싱공격 등)과 같은 인적 요인등이 있다.
자산이 있고, 이 것과 위협과 취약점의 조합으로 리스크가 발생한다고 표현한다. (Asset x Threat x Vulnerabillity = Risk)
위협을 줄이는 것은 어렵다. (사이버 공격이나 천재지변 등의 발생을 어떻게 막을 수 있는가?) 따라서 보안팀은 취약점을 줄이는 것에 중점을 둔다라고 이해해 왔다.
또한 리스크는 “어떤 사태가 발생할 것에 대한 불확실성(가능성)”으로 정의한다.
그런데 최근에 자주 귀에 들리고 있는 위협 모델링에서는 위협을 어떻게 정의하고 있는가?

위협 모델링에서의 정의

예를 들어, “Fundamental Technology Concepts That Protect Containerized Applications - Liz Rice 저” 를 보면 1.1장에서 리스크를 “잠재적인 문제와 그 것이 발생했을 경우의 영향” 으로, “위협”을 그 리스크가 발생할 가능성으로 정의하고 있다.

또한 위협 모델링에 대해 다음과 같이 설명하고 있다.

또한 “위협 모델링”은 시스템에 대한 잠재적인 위협을 특정하고 열거하는 프로세스이다.
위협모델링은 시스템의 구성요소 및 예상되는 공격의 종류를 체계적으로 조사해, 공격에 대해 시스템의 어떤 부분이 가장 취약한지를 특정한다.
위협은 리스크와 환경, 조직, 실행중인 어플리케이션에 의존하기 때문에 포괄적인 위협 모델링은 존재하지 않으나, 특정 컨텍스트(예를들어 컨테이너) 에서 공통적인 잠재적 위협을 열거하는 것은 가능하다.

즉, 위협 모델링에서는 위협에 의해 리스크가 발생하는 것이 아니다. 리스크가 있고, 그 것이 발생할 가능성이 위협인 것이다.

참고로 여기에 의하면 위협 모델링의 목표는 다음 세가지라고 한다.

보안 요건을 식별한다. (identify security requirements)
위협과 잠재적인 취약점을 특정한다. (pinpoint security threats and potential vulnerabilities)
위협과 취약점의 위험도를 정량적으로 평가하고, 대비책의 우선순위를 정한다. (quantify threat and vulnerability criticality, and prioritize remediation methods)