Vidar — 복원력과 임무 보증

모든 방어 플랫폼은 시연의 날이 아니라 최악의 날에 평가받습니다. 공격자는 공격의 시점, 표면, 강도를 선택하지만, 방어자는 그중 어느 것도 선택하지 못합니다. 방어자가 선택할 수 있는 것은 시스템의 일부가 실패할 때 어떻게 작동할지입니다. Vidar는 바로 이 질문에 답하기 위해 존재합니다. 즉, 환경이 더 이상 협조하지 않을 때에도 계속 작동하는 탐지, 상관 분석 및 대응입니다.

Vidar는 Zendrix의 방어 부문입니다. 이는 실패가 실질적인 운영 비용을 초래하는 환경, 즉 방어 시설, 핵심 기반 시설 네트워크, 유지보수를 위해 중단할 수 없는 운영 환경에서 적대적 이벤트를 관찰하고, 상관 분석하며, 대응합니다. 본 문서는 플랫폼이 수행하는 기능, 성능 저하 상황에서의 작동 방식, 그리고 우리가 연속성을 마케팅 약속이 아닌 측정 가능한 속성으로 취급하는 이유를 설명합니다.

임무 보증의 의미

임무 보증은 성능 저하 상태를 염두에 두고 설계하는 규율입니다. 모든 구성 요소가 가용할 것이라고 가정하는 대신, 플랫폼은 그중 하나가 가용하지 않을 것이라는 전제에서 출발하며, 그 부재 속에서도 임무가 존속하도록 운영을 구성합니다. 이는 센서, 통신 링크, 처리 노드, 외부 네트워크와의 연결성에 모두 적용됩니다.

실제로 이 규율은 우아한 성능 저하로 구현됩니다. 구성 요소가 실패하면 플랫폼은 통제된 방식으로 범위를 축소합니다. 즉, 핵심 기능은 유지하고 부수적 기능은 중단하며, 더 이상 사용할 수 없는 것이 무엇인지 명확히 밝힙니다. 운영자는 시스템 상태를 추측할 필요가 없습니다. 이러한 투명성은 방어 능력의 일부입니다. 왜냐하면 잘못된 상황 인식을 바탕으로 한 결정은 축소되었지만 명확히 알려진 상황에서 내린 결정보다 더 나쁘기 때문입니다.

Vidar는 탐지에도 동일한 원칙을 적용합니다. 이벤트를 상관 분석하려면 맥락이 필요하지만, 맥락은 일시적으로 사용할 수 없을 수 있습니다. 플랫폼은 침묵하는 대신 각 상관 분석의 신뢰 수준을 명시적으로 선언하고, 맥락이 불완전할 때에는 보수적인 가설에 기반하여 운영합니다. 우리는 보유하지 않은 데이터에 근거한 확신에 찬 탐지보다, 공백에 대한 정직한 경보를 선호합니다.

탐지와 상관 분석: 양보다 맥락

탐지 시스템은 두 가지 상반된 방식으로 실패합니다. 첫째는 침묵, 즉 눈에 띄지 않고 지나가는 이벤트입니다. 둘째는 잡음, 즉 운영자를 지치게 만드는 인간 필터로 전락시키는 경보의 양입니다. Vidar는 두 가지를 동일한 문제, 즉 맥락의 부재로 취급합니다. 상관 분석이란 흩어진 신호 집합을, 각각 관련 증거를 동반한 소수의 그럴듯한 설명으로 축소하는 것입니다.

이를 위해 플랫폼은 구조화된 개방형 위협 표현을 사용하며, 이를 통해 독점 형식에 의존하지 않고 서로 다른 출처의 인텔리전스를 통합할 수 있습니다. 개방형 표현이 중요한 이유는 두 가지입니다. 첫째, 서로 다른 기관이 취약한 변환 없이 정보를 교환할 수 있습니다. 둘째, 분석가가 상관 분석이 왜 생성되었는지 검증할 수 있습니다. 즉, 결과를 단순히 받아들이는 것이 아닙니다.

이러한 검증 가능성은 제품의 일부입니다. 모든 상관 분석은 이를 뒷받침하는 증거와 그 주변의 불확실성을 함께 전달합니다. 플랫폼이 알지 못할 때에는 그렇다고 말합니다. 운영자는 활용 가능한 상황 인식을 제공받고, 공백이 정확히 어디에 있는지 알 수 있습니다.

권한 범위 내에서의 대응

대응은 모든 방어 시스템에서 가장 민감한 부분입니다. 왜냐하면 대응은 행동이기 때문입니다. Vidar는 공식적인 권한 범위 내에서 운영됩니다. 모든 대응 유형에는 선언된 한계, 발동 조건, 요구되는 권한이 있습니다. 영향이 낮고 가역성이 높은 조치는 기계 속도로 진행될 수 있지만, 민감한 결과를 초래하는 조치는 항상 인간의 권한을 필요로 합니다.

이러한 설계는 신중함에 대한 양보가 아닙니다. 이는 운영상의 이점입니다. 자신이 무엇을 할 수 있는지 정확히 아는 시스템은 그 한계 내에서 더 빠르게 대응하며, 일반적인 절차로 제어할 필요가 없습니다. 권한 범위 없는 자율성이라는 대안은 조직으로 하여금 용납할 수 없는 위험과 영구적인 지연 중 하나를 선택하도록 강요합니다.

Vidar는 물리적 보안 또한 불변 조건으로 취급합니다. 물리적 효과가 모델링되지 않은 조치는 설계 단계에서 차단됩니다. 핵심 기반 시설에서 이는 플랫폼이 누구도 예측하지 못한 효과의 원인이 될 수 없음을 의미합니다. 방어 환경에서는 책임이 해당 조치를 승인한 권한으로까지 추적 가능하게 유지됨을 의미합니다.

격리 및 감사 환경에서의 연속성

Vidar는 네트워크가 닿지 않는 곳에서 운영되도록 설계되었습니다. 민감한 시설, 원격 국경, 선박은 외부 서비스에 의존하지 않고 완전한 역량, 즉 로컬 인지, 로컬 상태, 로컬 무결성 검증을 필요로 합니다. 플랫폼은 또한 주기적인 성능 저하 운영 훈련을 실시합니다. 왜냐하면 한 번도 실행해 본 적 없는 연속성 역량은 가설에 불과하기 때문입니다.

감사는 동일한 규율의 다른 측면입니다. 모든 관련 조치는 사후 변경으로부터 보호되는 검증 가능한 기록을 남깁니다. 이는 무슨 일이 있었는지 재구성해야 하는 운영자에게 도움이 되고, 한계가 준수되었는지 확인해야 하는 감독자에게 도움이 되며, 자사의 운영이 관리되고 있음을 제3자에게 입증해야 하는 기관 고객에게 도움이 됩니다.

이러한 복구 우선순위는 사전에 선언됩니다. 모든 핵심 기능에는 허용 가능한 최대 비가용 시간과 고객과 함께 정의된 복구 순서가 있으며, 이는 중대 사건 발생 시에 비로소 파악되는 것이 아닙니다. 자원이 부족할 때, 그리고 실제 중대 사건에서는 반드시 그러할 것이지만, 플랫폼은 무엇을 먼저 복구해야 하는지와 그 이유를 알고 있습니다. 이러한 명확성은 중대 사건 대응을 즉흥적 대처에서 절차로 전환하며, 조직이 각 단계에서 무엇이 보존되고 무엇이 희생되었는지 제3자에게 정직하게 전달할 수 있게 합니다.

이러한 의미에서 임무 보증은 모든 실패를 방지하는 것이라기보다, 가장 피해가 적은 순서로 실패하는 것입니다.

결국 Vidar는 단순하지만 어려운 요구 사항에 답합니다. 즉, 약속이 아닌 측정되는 운영 연속성입니다. 결코 잠들지 않는 방어 부문은 결코 실패하지 않는 것이 아니라, 실패하는 동안에도 임무를 계속 수행하며, 자신이 여전히 무엇을 할 수 있는지 정확히 밝힐 수 있는 것입니다.