희소하고 폭발적인 취약점 관측 모델링: 데이터 제약 하에서의 예측

사이버 보안 위협 인텔리전스에서 취약점의 실제 악용 여부를 사전에 예측하는 것은 방어 우선순위 결정에 필수적이다. 이 논문은 데이터가 매우 희소하고 일시적으로 폭발하는 실제 환경의 제약을 극복하기 위해 통계적 모델과 기계학습 접근법을 비교 분석하여 실무적인 예측 가이드를 제공한다.

시계열 예측의 기초인 ARIMA 모델은 데이터가 연속적이고 정상성(Stationarity)을 가진다는 가정하에 작동한다. 하지만 사이버 취약점 관측 데이터는 대부분의 날짜에 0이 기록되다가 특정 시점에만 수치가 급증하는 '희소하고 폭발적인(Sparse and Bursty)' 특성을 가져 기존 모델이 추세를 오판하고 음수 값을 출력하는 등 심각한 오류를 범한다.

이 논문은 이러한 한계를 극복하기 위해 데이터의 성격을 '연속적인 흐름'이 아닌 '불연속적인 사건의 발생 횟수'로 재정의한다. 이를 위해 0 이상의 정수만을 결과값으로 보장하는 Poisson 분포 개념을 도입하여 예측의 물리적 타당성을 확보했다.

결과적으로 데이터가 10~30일 정도로 매우 짧은 초기 단계에서도 취약점의 심각도 정보를 결합하여 향후 10일간의 활동 추세를 더 안정적으로 예측할 수 있게 되었다. 이는 단순한 수치 예측을 넘어 방어자가 한정된 자원을 어디에 먼저 투입해야 할지 결정하는 근거가 된다.

전체 접근 방식은 SARIMAX, Poisson Regression, 그리고 비선형 곡선 적합(Curve fitting) 모델을 단계적으로 비교하는 구조이다. 초기에는 일일 관측 횟수를 타겟으로 하고 VLAI 심각도 점수를 외생 변수로 입력받아 학습을 진행했다.

SARIMAX 모델에서는 데이터의 변동성을 안정시키기 위해 log(x + 1) 변환을 적용했다. [관측 횟수 x에 1을 더한 후 자연로그 계산 → 정규화된 입력값 생성 → 모델 학습 → 지수 함수 역변환으로 최종 예측값 산출] 과정을 거치지만, 데이터 포인트가 50개 미만인 경우 파라미터 추정이 불안정해지는 특성을 보였다.

Poisson Regression은 관측값 y가 주어진 평균 λ에 대해 Poisson 분포를 따른다고 가정한다. [시간 t와 심각도 s를 입력으로 → exp(w₁t + w₂s + b) 연산 수행 → 발생 횟수의 기댓값 λ 산출] 이 방식은 결과값이 항상 0보다 크거나 같음을 보장하며, 주간 단위로 데이터를 집계했을 때 일일 데이터의 노이즈를 효과적으로 상쇄했다.

SARIMAX 모델은 10~15일 정도의 짧은 학습 데이터에서 과적합(Overfitting)이 발생하거나 신뢰 구간이 수천 배로 확장되는 등 실무 적용이 불가능한 수준의 불안정성을 보였다. 특히 급격한 스파이크 이후 하향 추세를 음수로 잘못 연장하는 문제가 빈번했다.

Poisson Regression은 SARIMAX 대비 훨씬 안정적인 예측 곡선을 생성했으며, 특히 주간 집계 데이터에서 실제 관측값의 추세와 높은 일치도를 보였다. Logistic Growth 모델은 취약점 공개 직후의 급증하는 관심도를 포착하는 데 효과적이었으며, Exponential Decay 모델은 정점을 지난 취약점의 활동 감소를 정확히 모사했다.

본 연구는 데이터 희소성 문제를 해결하기 위해 VLAI(Transformer-based severity predictor)를 활용한 전이 학습적 접근을 시도했다. VLAI는 RoBERTa 아키텍처를 기반으로 60만 건 이상의 취약점 데이터를 학습하여 CVSS 점수를 예측하며, 이 점수는 시계열 모델에서 시점과 무관하게 안정적인 특징량(Feature) 역할을 수행한다.

구현 측면에서 Logistic Growth 모델은 y(t) = L / (1 + exp(-k(t-t₀))) 수식을 사용하며, 여기서 L은 최대 관측 예상치, k는 성장률, t₀는 변곡점을 의미한다. SciPy의 curve_fit 함수를 사용하여 비선형 최소제곱법으로 파라미터를 최적화하며, 파라미터의 하한을 0으로 설정하여 물리적으로 불가능한 예측을 방지했다.

데이터 포인트가 10개 미만인 극단적인 초기 단계에서는 여전히 통계적 유의성을 확보하기 어렵다. 또한, 특정 취약점이 갑자기 재조명받는 '재폭발(Re-burst)' 현상은 현재의 단조 감소/증가 모델로는 예측하기 어렵다는 한계가 있다.