소프트웨어 취약점 분류를 위한 메트릭

초록

본 논문은 기존 취약점 탐지 기법에 머신러닝을 결합하여 취약점 분류 메트릭을 제안한다. 특징 집합을 정의하고 두 가지 분류 모델을 실제 취약점 데이터에 적용해 성능을 비교한다. 또한 분류기 선택과 특징 간의 상관관계를 분석한다.

상세 분석

이 연구는 소프트웨어 취약점 분석 분야에서 아직 충분히 정량화되지 않은 “취약점 심각도”와 “악용 가능성”을 메트릭화하려는 시도로서 의미가 크다. 저자는 먼저 CVE 데이터베이스와 공개된 Exploit-DB를 활용해 실제 취약점 사례를 수집하고, 각 사례에 대해 정형화된 특징을 추출한다. 특징은 크게 정적 코드 메트릭(예: 복잡도, 함수 길이), 동적 실행 메트릭(예: 시스템 호출 빈도, 메모리 사용 패턴) 및 메타데이터(예: 공개 연도, 영향받은 제품군)로 구분된다. 이러한 다차원 특징을 기반으로 두 가지 머신러닝 분류기를 선택했는데, 하나는 전통적인 결정 트리 기반의 Random Forest이고, 다른 하나는 심층 신경망(Deep Neural Network)이다. 실험에서는 10‑fold 교차 검증을 통해 정확도, 정밀도, 재현율, F1‑스코어를 측정했으며, Random Forest가 상대적으로 적은 학습 시간과 높은 해석 가능성에도 불구하고 DNN에 비해 약간 낮은 성능을 보였다. 특히, 정적 코드 메트릭이 모델 성능에 가장 큰 기여를 하는 것으로 나타났으며, 동적 메트릭은 특정 종류의 메모리 취약점(버퍼 오버플로우 등)에서만 유의미한 향상을 제공했다. 저자는 또한 특징 선택 기법인 SHAP 값을 활용해 각 특징이 분류 결과에 미치는 영향을 시각화했으며, 이를 통해 “취약점 심각도”와 “악용 난이도”를 구분하는 두 축을 정의할 수 있었다. 마지막으로, 모델 선택이 특징 집합에 따라 최적화될 수 있음을 강조하며, 향후 연구에서는 자동 특징 엔지니어링과 앙상블 기법을 도입해 메트릭의 일반화 능력을 높일 것을 제안한다. 전체적으로 이 논문은 취약점 분류에 대한 체계적인 프레임워크를 제공하고, 실무에서 위험 관리와 패치 우선순위 결정을 지원하는 실용적인 도구로 활용될 가능성을 보여준다.