자율주행 차량 시스템의 사이버보안 위험 평가 방법론 비교 및 통합 방안

1. 서 론

최근 자율주행 시스템이 발달하면서 차량 사이버보안 분야에 대한 관심이 크게 증가하고 있다. 현대 사회는 완전 자율주행 시대를 지향하고 있기에, 자율주행 시스템에 대한 위협은 매우 치명적이다. 자율주행 시스템은 LiDAR, RADAR, Camera 등 다양한 센서로부터 수집한 데이터를 기반으로 판단 및 제어 기능을 수행하며, V2X와 같은 통신 기술을 통해 외부 환경에 대한 인지 기능을 보완한다. 그러나 이러한 센서 데이터가 조작되거나 통신 기술이 공격을 받을 경우, 차량의 의사 결정 및 제어 시스템 전반에 심각한 영향을 미칠 수 있다.¹⁾ 2021년 Komissarov와 Wool²⁾은 FMCW 레이더를 대상으로 가짜 장애물 생성 및 장애물 제거 공격을 수행하고 거리와 속도 데이터를 스푸핑하여 자율주행 차량의 충돌 방지 시스템 오작동을 유발하였다. 또한 같은 해 Trkulja 등³⁾은 C-V2X 네트워크에서 협력형 DoS 공격을 통해 네트워크 성능이 악화되었음을 보였다. 2025년에는 Suzuki 등⁴⁾이 LiDAR 객체를 제거하고 가짜 장애물을 주입하는 공격을 실제 자율주행 자동차에 적용하여 96퍼센트 이상의 성공률을 보였다. 이처럼 자율주행 시스템에 대한 위협은 단순히 차량 내부 시스템에 대한 위협뿐만 아니라, V2X 등 차량 통신에 대한 위협으로까지 확장되고 있다. 이러한 위험 요소들에 효과적으로 대응하기 위해서는 자율주행 시스템을 대상으로 한 체계적인 위험 평가(Risk assessment) 방법론이 필요하다.

차량 사이버보안 강화를 목적으로 현재 국제적으로 채택되고 있는 표준은 ISO/SAE 21434⁵⁾이다. 해당 표준은 위험 감소, 차량 보안성 강화, 수명 주기 보장 등을 이점으로 하며 특정 도구 또는 솔루션에 영향을 받지 않고 프로세스와 위험 관리에 중점을 둔다는 특징이 있다. ISO/SAE 21434에서는 TARA(Threat Analysis and Risk Assessment)⁶⁾라는 위협 분석 및 위험 관리 프로세스를 제안하고 있다. TARA 프로세스는 위협 식별(Threat identification), 위험 평가(Risk assessment), 위험 수준 분석(Risk analysis)의 세 절차를 거쳐 수행된다. TARA 수행 과정 중 위험 평가 단계에서 사용할 수 있는 방법론으로는 EVITA(E-safety Vehicle Intrusion proTected Applications)⁷⁾와 HEAVENS(HEAling Vulnerabilities to ENhance Software Security and Safety,⁸⁾ TVRA(Threat, Vulnerability And Risk Assessment)⁹⁾ 등이있다. 이중에서도 EVITA는 Attack Tree를 기반으로 위협 식별 및 위험 평가를 수행한다는 특징이 있으며, HEAVENS는 STRIDE¹⁰⁾라는 Threat modeling 기법을 이용하여 위협을 식별한다는 특징이 있다. 두 방법론의 서로 다른 위협 식별 방식 및 위험 레벨 도출 과정은 본 연구에서 하고자 하는 자율주행 시스템에 특화된 위험 평가 방법론 제시에서 다음과 같은 이점을 갖는다.

먼저, Attack Tree와 STRIDE 모델링은 특정 방법론에 국한되지 않고 널리 사용되는 기법이므로, 자율주행 시스템에 특화된 위험 평가의 위협 식별 단계를 구성하는 데 유용하게 참고할 수 있다. 두 방법론은 동적 지표의 유무, 위험 레벨 평가 대상의 차이 등 서로 다른 특성을 지니고 있어, 실제 위험 평가 과정을 수행하며 비교 분석하기에 적합하다. 이에 본 논문에서는 이 두 가지 방법론을 적용하여 자율주행 시스템에 대한 위험 평가를 수행하고, 각 방법론의 한계점을 분석함과 동시에 장점들을 통합하여 자율주행 시스템에 적합한 새로운 위험 평가 방법론의 방향성을 제시하고자 한다. 본 연구의 기여점은 다음과 같다.

1) EVITA의 자산 중심 기법과 HEAVENS의 STRIDE 기반 시나리오 분석 기법을 비교 분석한다.

2) EVITA와 HEAVENS 방법론의 한계점을 보완하는, 자율주행시스템에최적화된위험평가프레임워크를제시하여 자율주행 차량의 보안성을 향상시키기 위한 기반을 마련한다. 특히 기존의 자산 중 위협 식별 방식이 아닌, STRIDE 모델링을 도입하여 자율주행 차량 시스템의 구조를 보다 정확하게 파악할 수 있는 방안을 제시한다.

2. 배경 지식

자율주행 시스템의 위험 평가를 위해서는 해당 시스템에 적용 가능한 기존 위험 평가 방법론들에 대한 이해가 선행되어야 한다. 본 장에서는 본 연구에서 비교 대상으로 삼은 대표적인 두 가지 방법론인 EVITA와 HEAVENS에 대해 각각의 구조, 분석 절차, 평가 기준 등을 중심으로 설명한다. 이를 통해 이후 장에서 수행될 비교 및 통합 방안의 이론적 기반을 마련하고자 한다.

3. 관련 연구

차량에 대한 위험 평가 방법론의 필요성은 자율주행 차량 및 커넥티드 카의 발전과 확산에 따라 꾸준히 부각되고 있는 추세이다. 이에 따라 위험 평가 방법론을 비교 및 검증하려는 연구가 이어지고 있다.

2015년 Boudguiga 등¹¹⁾은 RACE(Risk Analysis for Cooperative Engines)라는 방법론을 제안하면서 EVITA, TVRA, RACE 위험 평가 방법론을 동일 시나리오에 적용하여 평가를 수행하였다. 해당 논문에서 RACE는 EVITA와 TVRA의 장점을 결합하여 만든 방법론으로, CITS(Cooperative Intelligent Transport Systems)를 위한 위험 분석 체계를 제공한다.

Macher 등¹²⁾은 2015년 차량에 대한 HARA (Hazard Analysis and Risk Assessment)와 STRIDE를 결합한 SAHARA라는 새로운 위험 평가 방법론을 제시하며, 실험을 통해 기존 HARA만 수행하였을 때와 대비하여 위협 상황이 34% 더 많이 식별되었다는 결과를 도출하여 SAHARA 방법론의 실효성을 입증하였다.

또한 Cui와 Zhang¹³⁾이 2020년 발표한 논문에서는 EVITA, RACE, CSRL과 차별화되는 VeRA(Vehicle Risk Analysis)라는 위험 평가 방법론을 제시하며 해당 방법론이 분석 시간 단축과 위험도 수준 측정의 정확도 면에서 자율주행 시스템에 특화된 위험 평가를 수행할 수 있다고 주장하였다. 해당 논문에서는 VeRA를 직접 수행하며 평가 결과를 다른 방법론의 결과와 비교하여, 기존 자산 기반 식별 방식을 차용하여 일반화된 위험 평가 체계를 유지하고 있다. 그러나 자산 식별 방식의 경우 자율주행 시스템의 동적 운행 조건 및 통신 환경에 대한 복잡도 높은 위협을 식별하는 데 한계가 있을 수 있다.

Abouelnaga와 Jakobs¹⁴⁾의 논문에서는 TARA 프레임워크를 개괄적으로 설명한 후, 특정 케이스에 대해 EVITA와 HEAVENS 방법론을 비교하여 두 방법론이 실무 관점에서 어떠한 차이가 있는지 제시하고 있다.

앞서 언급한 연구들은 기존 방법론과 그를 보완한 개선된 방법론을 제시하면서, 어떤 측면에서 개선이 이루어졌는지를 시사하는 데 초점을 맞추고 있다. 그러나 이들 연구는 자율주행 시스템을 타겟으로 하여 EVITA와 HEAVENS 방법론대로 위험 평가를 수행하고 있지 않다. 본 논문에서는 위험 평가 대상이 자율주행 시스템임을 고려하여, 차량에 대한 대표적인 위험 평가 방법론인 EVITA와, 위협 분석 방식에서 EVITA와 가장 큰 차이를 보이는 HEAVENS를 비교 대상으로 선정하였다. HEAVENS는 STRIDE 모델링을 기반으로 위협을 식별하고, 정량적인 위험 평가를 수행함으로써, 자율주행 시스템의 복잡한 구조에 더욱 적합한 방법론으로 평가된다.⁸⁾ 이에 본 논문은 전통적인 차량 중심의 위험 평가를 넘어서, 자율주행 시스템에 특화된 위험 평가에는 어떤 접근 방식이 필요한지를 현실적으로 제시하고자 하며, 이를 통해 미래 자동차의 보안성 향상에 기여하고자 한다.

4. 위험 평가 수행 과정

본 연구는 자율주행 시스템에 특화된 위험 평가 방법론이 없다는 점에 주목하였다. 현재 선행 연구에서도 전통적인 ECU 기반의 차량 위험 평가 프레임워크를 다루는 부분이 여전히 많은 비중을 차지하고, 자율주행 시스템에 특화되었다고 명확히 정의할 수 있는 위험 평가 방법론은 제시되지 않았다. 따라서 해당 한계를 개선하기 위해, 위협 식별 방식이 명확히 다른 두 방법론을 비교함으로써 더 나은 대안을 제시하고자 한다.

4.2 Architecture 선정

본 논문에서는 Limbasiya 등¹⁵⁾의 논문에서 제시하고 있는 자율주행 시스템의 구조와 그에 따른 Attack surface를 EVITA와 HEAVENS 방법론에 따라 위험 평가를 수행하기 위한 기준 Architecture로 선정하였다. 해당 Architecture는 자율주행 차량의 내부 구조에 따라 가능한 Attack method를 나타내고 있기에, 위험 평가를 수행한 후 위협이 적절하게 식별되었는지 비교할 수 있다. Figure 1에 나타난 것처럼 자율주행 자동차의 내부 시스템은 크게 다음과 같이 6가지로 구분된다. 6가지의 항목에는 Figure 1의 회색 항목들과 동일한 번호를 부여하였다.

Fig. 1

The attack surface model for connected and automotive driving system operations

1) Wireless interfaces: Wi-Fi, LTE, Bluetooth 등 무선 인터페이스로 구성된 영역으로 무선 통신 기능을 수행한다. 해당 영역에서는 Impersonation, DoS, Sybil, Modification, Replay, Injection, Side-Channel 공격이 가능하다.

2) Physical ports: USB 또는 OBD 단자 등으로 구성되어 있는 물리적 포트로, 차량 외부의 하드웨어 장치를 차량에 연결하는 기능을 수행한다. Injection, Side-Channel, Impersonation 등의 공격이 가능하다.

3) In-Vehicle network: 차량 ECU와 통신 프로토콜이 이루어지는 CAN Bus가 속하는 영역이며 Fuzzing, Bus-off, Modification, Injection, Impersonation 공격이 가능하다.

4) Keyless entry system: Remote Key 등 차량의 물리적 잠금 해제를 실제 키 없이 수행하는 시스템이다. 해당 시스셈에서는 Impersonation, Replay 공격이 가능하다.

5) Infotainment system: OTA 펌웨어 업데이트를 통해 차량 계기판 및 라디오 등 인포테인먼트 기능을 수행하는 시스템 영역이다. 이 시스템을 대상으로 가능한 공격은 Impersonation, Modification이 있다.

6) Perception sensors: Radar, LiDAR, Camera 등 외부 물체 인식을 담당하는 센서들이 포함되어 있다. 해당 센서들을 대상으로 Modification, DoS, Remote sensor 공격을 수행할 수 있다.

이 구조는 자율주행 차량에 탑재되어 있는 시스템을 기능에 따라 6가지로 구분함으로써 각 항목에 대해 적절히 위협 모델링을 수행할 수 있다. 본 논문에서는 해당 Architecture를 기준으로 하여 EVITA와 HEAVENS 방법론에 따라 위험 평가를 수행하였다.

4.3 Attack Tree 기반의 EVITA 위험 평가 방법론 수행

Figure 1을 바탕으로, EVITA와 HEAVENS 방법론에 대해 Architecture 기반 위협 식별 및 위험 평가를 진행하고자 한다.

EVITA 방법론에서는 Attack Tree를 통하여 공격 자산을 분석한다. Figure 2는 Figure 1에 나타난 각 Architecture의 각 항목을 Attack goal로 설정하여 Attack Tree를 작성한 모습이다. Figure 1의 (a)~(f)에는 총 6가지의 세부항목이 명시되어 있는데, 각각의 항목에 대한 공격이 Figure 2에 나타난 Attack Tree의 최상위 노드에 해당하는 Attack goal이다. Attack objective에는 Attack goal을 달성하기 위한 공격 목표를 작성하였고, 하위 노드인 Attack method에는 Replay, Spoofing 등 실질적인 공격 방법을 작성하였다. 마지막으로 Asset attack에 해당하는 최하위 노드에는 각 공격 방법들이 어떤 자산으로부터 시작되는지 분석하여 공격 자산을 기록하였다. 예를 들어, Inject spoofed CAN messages라는 CAN 메시지 주입 공격은 CAN message injection이라는 자산으로부터 달성할 수 있는 공격 방법이므로, Attack tree 상에서 Inject spoofed CAN messages 노드의 하위에 CAN message injection 노드를 작성하였다. Attack tree를 작성한 이후, 이 내용을 기반으로 Attack Probability를 도출하였다.

Fig. 2

Attack trees of automotive driving system

Attack Probability는 각각의 Attack tree 노드 중 Asset attack에서 도출한다. Attack Probability를 도출하기 위해서는 Elapsed time(공격에 걸리는 시간), Expertise(공격자의 능력), System knowledge(요구되는 시스템 지식 수준), Window of opportunity(공격 기회), Equipment(공격에 필요한 장비) 총 6가지의 Factor를 고려한다. Elapsed time은 공격에 걸리는 시간을 의미하며, 1일, 1주, 1달, 3달, 6달 단위로 구분하여 차등 점수를 부여한다. Expertise는 공격자의 경험치를 나타내는 지표로 Layman, Proficient, Expert, Multiple experts로 구분하여 점수를 매긴다. System knowledge는 공격에 요구되는 시스템에 대한 지식 수준이 얼마나 제한적인지를 나타내며, Public, Restricted, Sensitive, Critical로 나누어 점수를 부여한다. Window of opportunity는 공격에 필요한 타겟 수와 공격 윈도우에 접근하기까지의 시간을 Unnecessary/unlimited, Easy, Moderate, Difficult, None으로 구분하여 차등적으로 점수를 부여한다. 또한 Equipment는 공격을 수행하기 위한 장비의 수준을 나타내며 Standard, Specialized, Bespoke, Multiple bespoke의 단계로 나누어 각 항목에 점수를 매긴다. 해당 점수 기준표는 Appendix A.1에서 확인할 수 있다.

이렇게 도출된 점수를 합산하여 Attack Potential을 도출한 후, Attack Potential의 범위에 따라 Attack Probability의 점수를 매긴다. Attack Potential은 공격을 위한 요소들의 합산을 나타내는 지표이므로 해당 항목과 Attack Probability는 반비례한다. Table 1은 Attack Potential의 범위에 따라 Attack Probability를 도출하는 기준을 나타낸 표이고, Table 2에서 Attack Tree의 Asset attack에 대해 Attack Potential과 Attack Probability를 도출한 결과를 볼 수 있다. Table 1의 표를 보면 Attack Potential과 Attack Probability는 반비례하므로, Table 2에서 Attack Potential이 최고점인 LiDAR spoofing은 Attack Probability가 2로 가장 낮게 도출되었고, Attack Potential이 최저점인 Key fob signal replay와 Capture key fob challenge는 Attack Probability가 4로 가장 높게 도출되었다.

Table 1

Attack potential and attack probability classification

Table 2

EVITA-Based attack probability for attack methods

다음으로 Attack objective에 대해 공격의 심각도, 즉 Severity를 도출하였다. Table 3은 EVITA 공식 문서에서 제공하는 Severity 기준 표이다. Severity에서 고려하는 것은 Safety, Privacy, Financial, Operational 네 가지 도메인이다. Safety는 위협이 발생했을 경우 운전자의 생명과 차량 시스템에 어느 정도 영향을 주는지를 나타내는 도메인이고, Privacy는 위협 발생 시 운전자나 차량의 데이터에 접근할 수 있는 가능성을 나타내는 도메인이다. 또한 Financial은 위협 발생 시 금전적 손해를 나타내는 도메인이며, Operational은 위협 발생 시 운용에 영향을 주는 정도를 나타내는 도메인이다.

Table 3

Severity classification

해당 표를 기반으로 Table 4와 같이 4가지 Factor에 대하여 점수를 매겨 각각의 Severity를 도출하고, 최종 Severity의 도메인을 결정하였다. EVITA에서 Severity는 Safety가 0이 아닐 때 거의 모든 경우에서 메인 도메인으로 Safety를 사용한다. Safety가 0일 경우는 Privacy, Financial, Operational 중 가장 점수가 높은 도메인을 메인 도메인으로 한다. 예를 들어, Table 4에서 볼 수 있듯이 Attack objective가 Eavesdrop on communication인 항목에서는 Safety 도메인의 값이 0이기에 가장 점수가 높은 Privacy 도메인으로 Severity를 도출하였다. 또한 Bypass authentication과 Deny service of the wireless channel 항목과 같이 Safety 도메인에 비해 타 도메인의 점수가 상대적으로 높을 경우 Privacy, Operational 등 타 도메인이 Severity 도출에 고려되었음을 볼 수 있다.

Table 4

Derived severity scores per EVITA attack objective

EVITA에서 고려하는 마지막 요소는 Controllability이다. Controllability는 위협이 위험으로 나타났을 때, 운전자가 대응할 가능성을 나타내는 지표이다. Controllability는 Attack objective로부터 도출한 Severity 중, Safety domain을 Main domain으로 하는 Objective에 대해서만 4단계로 값을 매기는데, 공격에 대해 운전자의 대응이 가능한 레벨은 C1부터 C3까지이고 C4는 인간의 대응으로 상황이 바뀌지 않는 레벨을 의미한다.

Table 5는 EVITA에서 명시하고 있는 Controllability 산정 표이고, Table 6은 이에 기반하여 Safety domain일 경우 Controllability를 측정한 표이다.

Table 5

Controllability classification

Table 6

Controllability classification of attack objectives

마지막으로, 지금까지 도출한 Attack Probability와 Severity, Controllability를 사용하여 최종 Risk Level을 도출한다.

Risk Level은 Controllability 지표의 값에 따라 총 4개의 다른 Matrix를 사용한다. Matrix는 Appendix A.1에서 확인 할 수 있다. 이때 Attack Probability와 Severity를 Matrix에 매핑하여 최종 Risk Level을 결정하는데, Table 7에서 최종 Risk Level을 확인할 수 있다. Table 7을 보았을 때 Inject Spoofed CAN Messages, Send Fake Reflections 등 Controllability가 C3 이상의 등급일 경우 Risk Level이 R6 이상인 반면, Signal Jamming과 Exploit Debug Interface 등 Controllability가 C1일 경우 Risk Level이 R2, R3로 도출된다.

Table 7

Final risk levels based on EVITA

4.4 STRIDE 모델링 기반의 HEAVENS 방법론을 사용한 위협 시나리오 분석

HEAVENS에서는 EVITA와 달리 STRIDE 모델링을 사용한다. ⁸⁾ 본 논문에서는 Table 8과 같이 Figure 1의 Architecture 상에서 발생 가능한 위협에 대해 STRIDE 모델링을 수행한 후, 식별된 위협에 대하여 Threat ID를 할당하였다.

Table 8

STRIDE-Based threat modeling of automotive driving system

HEAVENS 방법론을 수행한 과정의 기준 표는 Appendix A.2에 제시되어 있다. Table A.0은 Threat Level 산정 기준, Table A.1은 Impact Level 산정 기준, Table A.2는 Risk Score 산정 Matrix를 나타낸다.

각 Threat ID별로 Threat Level(TL)과 Impact Level(IL)을 도출할 수 있다. Threat Level은 Expertise, Knowledge of TOE(Target of Evaluation), Window of Opportunity, Equipment 총 4가지 파라미터의 점수를 합산하여 도출한다. 해당 파라미터는 EVITA에서 Attack Potential을 구하기 위해 사용하는 요소들과 유사한 의미를 가지지만, 부여하는 점수를 0부터 3 사이로 제한하여 각 파라미터별로 정량적이고 일관적인 결과를 도출하도록 하였다. Table 9는 HEAVENS 2.0에서 제시하고 있는 기준에 따라 TL을 도출한 것이다. Table 9의 Threat ID는 STRIDE 모델링을 사용하여 식별한 위협에 대해 각각 ID를 할당한 것이며, 각 요소들의 합에 따라 Threat Level 구간을 분류하여 점수를 도출하였다.

Table 9

Threat level per threat

Impact Level은 EVITA의 Severity와 유사하게 Safety, Financial, Operational, Privacy와 Legislation을 이용하여 도출한다. 이때 EVITA는 개인 정보 보호 측면에서 Privacy만을 고려하지만, HEAVENS에서는 Legislation, 즉 위협이 발생 시 법률에 위배되는 상황이 유발되는지 여부도 함께 판단한다.

또한 EVITA가 S0부터 S3으로 Severity class를 구분하는 반면, HEAVENS는 0,1,10,100의 값을 부여하고 총 점수를 합산하여 Impact Level을 도출한다. Table 10은 Threat ID별로 Impact Level을 도출한 것이다.

Table 10

Impact level per threat

HEAVENS에서는 Threat Level과 Impact Level을 고려하여 최종 Security Level을 도출하는 표를 사용한다. HEAVENS는 EVITA와 다르게 Controllability를 고려하지 않기 때문에, 하나의 Matrix로 최종 결과를 도출할 수 있다. Table 11은 Threat Level과 Impact Level에 따른 Matrix를 참고하여, 최종 Security Level을 도출한 표이다. Side-channel과 같은 위협은 Threat Level과 Impact Level이 모두 최고점으로, Security Level도 최고 등급인 Critical로 도출되었다. 반면 Modification과 Impersonation 등의 위협은 Threat Level이 1, Impact Level이 2로 Security Level이 최저 등급인 Low로 도출되었음을 알 수 있다.

Table 11

Final security levels based on HEAVENS

5. 비교 분석 및 결과

이와 같이 EVITA와 HEAVENS 방법론에 따라 자율주행 시스템에 대한 위험 평가를 수행하였다. 두 방법론 모두 자율주행 시스템의 위험을 평가하는 데 있어서 일부 유의미한 결과를 도출하였지만, 각 방법론은 위협 식별 및 평가 지표 측면에서 뚜렷한 차이를 보였다. 해당 차이점은 Table 12에 나타나 있다. 본 논문에서 ‘위협 식별’은 위험 평가 수행 과정 중 각 위협 항목들이 독립적으로 구분되었음을 의미한다. Table 12의 식별 결과를 보았을 때, 위협 식별 과정에서 HEAVENS는 Figure 1의 Architecture에 나타나 있는 위협들을 모두 식별하였으며 EVITA에서는 일부 위협들이 누락되었다. Table 2와 Figure 1을 비교해 보았을 때 대표적으로 누락된 위협은 Bus off(In-Vehicle Network), Side Channel Attack(Physical Ports), Sybil(Wireless Interfaces)인데, 이 세 위협 중 특히 Sybil과 Side Channel Attack은 HEAVENS 방법론에 따라 평가하였을 때 Security Level이 각각 High와 Critical 수준으로 평가되는 위험도가 매우 높은 위협이다. 자율주행 시스템에서 Sybil Attack은 가짜 노드를 생성하여 트래픽의 방향을 임의로 전환할 수 있는 치명적인 공격¹⁶⁾이기에 반드시 식별되어야 한다. 또한 Side Channel Attack의 경우 차량의 제어 소프트웨어가 캐시에 접근하는 패턴을 이용하여 자율주행 차량의 위치를 실시간으로 추적할 수 있으므로, 심각한 프라이버시 침해 및 차량 경로 조작을 유발할 수 있는 공격¹⁷⁾이기에 Sybil Attack과 함께 반드시 식별되어야 하는 공격 중 하나이다.

Table 12

Threat identification – EVITA vs HEAVENS

EVITA가 이와 같은 치명적인 공격들을 식별하지 못한 이유는 EVITA가 자산 중심의 논리적 공격 탐지에 초점이 맞추어져 있기 때문이다. Side Channel Attack은 하드웨어 레벨의 누출 정보를 분석하는 과정이 포함되어 있는데, EVITA에서는 하드웨어 기반 공격을 고려하지 않는다. ⁷⁾ 또한 Sybil Attack은 네트워크 통신의 위조 공격, 즉 Spoofing 공격으로 분류되는데 EVITA에서는 이러한 Spoofing과 같은 복잡한 네트워크 위협을 탐지하지 못한다. ⁸⁾ 반면 HEAVENS는 STRIDE 모델링을 기반으로 자산 중심이 아닌 위협 중심의 분류를 수행하며, Spoofing, Information disclosure와 같이 위협의 카테고리를 체계적으로 분류하기 때문에 Table 8에 표시된 것처럼 Sybil Attack과 Side Channel Attack을 식별해낼 수 있었다. 따라서 EVITA의 자산 중심 분석보다는 HEAVENS와 같이 위협의 유형을 세분화하여 식별하는 것이 더 세밀한 위협을 찾아낼 수 있다.

다음으로 HEAVENS에서 가장 뚜렷하게 드러나는 단점은 EVITA의 Controllability와 같은 동적 지표가 없어, 실제 상황에 적용되는 평가 기준이 될 수 없다는 점이다. 이는 실제 운행 중 발생할 수 있는 다양한 환경 변화 및 공격 시도에 적절하게 대응하지 못하는 한계로 이어질 수 있다.

앞서 분석했듯이, EVITA에는 HEAVENS와 다르게 동적 지표를 반영할 수 있는 평가 기준인 Controllability가 있다. 그러나 Controllability 또한 동적 상황을 완벽히 반영하지는 못한다.

해당 지표는 ISO 26262의 사고 위험 모델이 반영된 것인데, 이것은 운전자가 차량에 탑승해 있고 주행 상황 제어가 가능하다는 전제를 기반으로 하고 있으므로 자율주행 레벨 4 이상의 시스템에 적용하기 어렵다. 예를 들어, Table 6에서 Attack Objective가 Disrupt Vehicle Communication인 부분을 보자. Controllability가 C3로 제어가 특정 상황에서 가능하다는 결과가 나타나 있다. 그러나 자율주행 레벨 4 이상의 환경에서 운전자가 탑승하지 않았을 경우, 차량 간 통신이 무력화되면 운전자의 제어는 불가능하다. 또한 EVITA에서는 Controllability를 기업별 시나리오 등을 고려하여 상향 조정할 수 있다고 명시하고 있지만, ⁷⁾ 결국 상향 조정하는 것도 객관적인 지표가 존재하지 않아 정량적 평가가 불가능하다는 한계가 있다. 따라서 EVITA의 Controllability를 실제 상황에 사용하기 위해서는 객관적인 기준과 함께 정량적 평가가 가능하도록 보완해야 한다.

이러한 분석 결과에 따라, 본 연구에서는 Table 13과 같이 해당 지표를 SAE J3016에서 정의하는 자율주행 레벨 ¹⁸⁾을 결합할 것을 제안한다. SAE J3016에서는 자율주행 레벨을 0부터 5까지 총 6단계로 나누며, 그중 0단계부터 3단계까지의 레벨에서 운전자의 개입을 의무화한다. 따라서 본 연구는 자율주행 레벨 0부터 3까지는 기존 EVITA에서 사용하는 것과 같이 운전자의 Controllability를 평가하고, 운전자가 없을 경우에는 일관적으로 C4로 두어 운전자의 부재를 전제하는 프레임워크를 제안한다. 이를 통해 운전자의 제어 가능성을 객관적인 지표에 따라 보다 정량적으로 평가할 수 있다.

Table 13

Proposed controllability to SAE J3016 driving automation level mapping

결과적으로 EVITA는 위협 식별과 위험 평가 면에서 각각의 장점을 가지고 있다. 특히 위협 식별 면에서는 STRIDE 모델링을 수행하며 위협 시나리오별로 위협을 식별해내는 HEAVENS가 자율주행 시스템의 복잡한 구조의 위험을 평가하기에 적절하다. 또한 동적 상황 평가에는 Controllability를 고려하는 EVITA의 위험 평가 방식이 자율주행 시스템에서 발생할 수 있는 다양하고 복잡한 위험을 평가하기에 상대적으로 유리한 구조를 갖추고 있다. 이러한 두 가지 특성에 의해 기존의 EVITA나 HEAVENS 방법론 중 한 가지만을 사용해서는 자율주행 시스템에 특화된 위험 평가를 진행할 수 없다.

따라서 자율주행 시스템에 특화된 방법론을 제시하기 위해서는 HEAVENS의 위협 식별 모델과 EVITA의 동적 위험 평가 모델 및 SAE J3016의 자율주행 레벨을 결합해야 한다.²¹⁾

본 논문에서는 해당 제안의 기대 효과를 Table 14의 결과로 검증하였다. Table 14에서는 자율주행 Level 4, 5일 때 Controllability를 C4로 고정한 경우의 Risk Level(Risk_C4)과, 자율주행 Level을 고려하지 않았을 때 Controllability에 따른 EVITA의 Risk Level(Risk_E)을 비교하고 있다. 표의 (Risk_C4)-(Risk_E) 항목을 보았을 때 Controllability가 C4인 경우에는 차이가 없고, 모든 Attack Method에 대해 Risk Level이 하나 이상 증가했음을 확인할 수 있다. 이는 자율주행 Level 4, 5의 상황에서의 Controllability 도입이 상황에 따른 민감도를 부여함과 동시에 과도한 보정을 유발하지 않는다는 점을 시사한다.

Table 14

Risk under standard vs SAE J3016 automation level controllability

6. 결 론

본 연구는 자율주행 시스템에 대한 체계적이고 정밀한 위험 평가 방법론의 부재라는 문제의식에서 출발하였다. 기존의 대표적 방법론인 EVITA와 HEAVENS를 자율주행 시스템 아키텍처에 적용하여 각각의 한계와 장점을 분석하였고, 이를 통해 자율주행 시스템의 복잡성과 동적 특성을 반영할 수 있는 평가 요소를 도출하였다.

분석 결과, EVITA는 자산 중심의 위협 식별에 강점을 가지며 Controllability와 같은 동적 지표를 포함하고 있어 실제 운행 중 발생할 수 있는 위험 상황에 대한 평가에 효과적이다. 반면 HEAVENS는 STRIDE 기반의 위협 중심 모델링을 통해 보다 정교한 위협 식별이 가능하며, 자율주행 시스템 특유의 다양한 위협 시나리오를 포괄하는 데 적합한 구조를 갖추고 있다. 그러나 각각의 방법론은 동적 상황 반영의 미흡함(EVITA) 또는 Controllability 부재(HEAVENS)와 같은 보완이 필요한 부분이 존재함을 확인하였다.

이에 본 연구는 향후 위험 평가 체계 개선을 위한 방향으로, 자율주행 레벨에 기반한 동적 위험 평가 지표의 도입을 제안하였다. 특히, SAE J3016에 정의된 자율주행 레벨을 기준으로 Controllability의 적용 범위를 차별화할 수 있음을 제안하였다. 이를 통해 자율주행 시스템의 구조적 특성과 운용 환경을 반영한 정밀한 위험 분석이 가능하다.

이후 후속 연구로 STRIDE 모델링과 자율주행 레벨을 도입한 Controllability를 정량화하고, 이를 결합한 방법론 정립 및 관련 파라미터 조정을 수행하여 제안한 내용을 구체화할 수 있을 것으로 기대된다.

Acknowledgments

A part of this paper was presented at the KSAE 2025 Spring Conference

References

• S. Kwon and J. H. Lee, “Security Threats and Technological Trends in Autonomous Vehicles,” Review of KIISC, Vol. 30, No. 2, pp. 31-39, 2020.
• R. Komissarov and A. Wool, “Spoofing Attacks Against Vehicular FMCW Radar,” Proceedings of the 5th Workshop on Attacks and Solutions in Hardware Security, pp. 91-97, 2021. [https://doi.org/10.1145/3474376.3487283]
• N. Trkulja, D. Starobinski and R. A. Berry, “Denial-of-Service Attacks on C-V2X Networks,” arXiv preprint arXiv:2010.13725, , 2020. [https://doi.org/10.14722/autosec.2021.23006]
• R. Suzuki, T. Sato, Y. Hayakawa, K. Ikeda, O. Sako, R. Nagata, Q. A. Chen and K. Yoshioka, “Real World LiDAR Spoofing Attacks on Driving Vehicles at Cruising Speeds,” NDSS Symposium, 2025.
• International Organization for Standardization, ISO/SAE 21434:2021 – Road vehicles — Cybersecurity engineering, International Organization for Standardization, https://www.iso.org/standard/70918.html, , 2021.
• G. Macher, E. Armengaud, E. Brenner and C. Kreiner, “A Review of Threat Analysis and Risk Assessment Methods in the Automotive Context,” SAFECOMP 2016: Computer Safety, Reliability, and Security, pp. 130-141, 2016. [https://doi.org/10.1007/978-3-319-45477-1_11]
• A. Ruddle, “Security Risk Analysis Approach for On-Board Vehicle Networks,” The Fully Networked Car Workshop at the Geneva International Motor Show, Geneva, Switzerland, http://evita-project.org/Publications/Rud10.pdf, , 2010.
• A. Lautenbach and M. Islam, “HEAVENS–Healing Vulnerabilities to Enhance Software Security and Safety,” The HEAVENS Consortium, Borås, Sweden, 2016.
• European Telecommunications Standards Institute, “Methods for Testing and Specification (MTS); Security; Part 1: Threat, Vulnerability, Risk Analysis (TVRA),” ETSI TS 102 165-1 V4.2.3, https://www.etsi.org/deliver/etsi_ts/102100_102199/10216501/04.02.03_60/ts_10216501v040203p.pdf, , 2011.
• A. Shostack, Threat Modeling: Designing for Security, New York, John Wiley & Sons, 2014.
• A. Boudguiga, A. Boulanger, P. Chiron, W. Klaudel, H. Labiod and J.-C. Seguy, “RACE: Risk Analysis for Cooperative Engines,” Proceedings of the 2015 7th International Conference on New Technologies, Mobility and Security (NTMS), pp. 1-5, 2015. [https://doi.org/10.1109/NTMS.2015.7266516]
• G. Macher, H. Sporer, R. Berlach, E. Armengaud and C. Kreiner, “SAHARA: A Security-Aware Hazard and Risk Analysis Method,” 2015 Design, Automation & Test in Europe Conference & Exhibition (DATE), Grenoble, France, pp. 621-624, 2015. [https://doi.org/10.7873/DATE.2015.0622]
• J. Cui and B. Zhang, “VERA: A Simplified Security Risk Analysis Method for Autonomous Vehicles,” IEEE Transactions on Vehicular Technology, Vol.69, No.10, pp.10494-10505, 2020. [https://doi.org/10.1109/TVT.2020.3009165]
• M. Abouelnaga and C. Jakobs, “Security Risk Analysis Methodologies for Automotive Systems,” arXiv preprint arXiv:2307.02261, , 2023.
• T. Limbasiya, K. Z. Teng, S. Chattopadhyay and J. Zhou, “A Systematic Survey of Attack Detection and Prevention in Connected and Autonomous Vehicles,” Vehicular Communications, Vol.37, Paper No.100515, 2022. [https://doi.org/10.1016/j.vehcom.2022.100515]
• S. Gupta, C. Maple and R. Passerone, “An Investigation of Cyberattacks and Security Mechanisms for Connected and Autonomous Vehicles,” IEEE Access, Vol.11, pp.90641-90669, 2023. [https://doi.org/10.1109/ACCESS.2023.3307473]
• M. Luo, A. C. Myers and G. E. Suh, “Stealthy Tracking of Autonomous Vehicles with Cache Side Channels,” 29th USENIX Security Symposium (USENIX Security 20), pp.859-876, 2020.
• SAE International, SAE Updates J3016 Automated Driving Graphic, https://www.sae.org, , 2019.
• EVITA Project, Deliverables, https://www.evita-project.org/deliverables.html, , 2025.
• A. Lautenbach and M. Islam, HEAVENS Deliverable D2: Security Models (Version 2.0), https://autosec.se/wpcontent/uploads/2018/03/HEAVENS_D2_v2.0.pdf, , 2025.
• J. Kim and S. Jeon, “Towards Improved Risk Assessment for Autonomous Driving Systems: A Comparative Study,” KSAE Spring Conference Proceedings, pp.1973-1974, 2025.