이 논문은 방화벽이나 침입탐지시스템 같은 경계 기반 보안 장비가 손상된 호스트를 거쳐 트래픽을 우회시키는 '피벗팅' 공격에는 취약하다고 지적하며, 프로그래머블 커널을 활용해 실시간으로 피벗팅을 탐지하는 호스트 기반 시스템 '스티치(Stitch)'를 제안한다. 스티치는 호스트를 통과하는 흐름을 관찰하고 프로세스 추적을 통해 시스템·네트워크 수준 정보를 결합, 들어오는 통신과 나가는 통신을 연결해 피벗팅 특성을 식별한다. 두 개의 실제 환경 배포 실험에서 스티치는 기존 최고 수준 피벗팅 방어 기법 대비 정확도를 31% 향상시켰고, 최대 오탐률은 0.006%에 그쳤다. 연구진은 이를 통해 네트워크 전체 참여가 필요하거나 처리 지연이 크던 기존 방어의 공백을 가볍고 독립적인 방식으로 메울 수 있다고 설명한다.

• •경계 기반 보안장비는 손상 호스트를 거치는 '피벗팅' 공격 탐지에 취약하다는 문제의식에서 출발
• •프로그래머블 커널과 프로세스 추적으로 실시간 피벗팅을 탐지하는 호스트 기반 시스템 '스티치' 제안
• •실제 환경 실험에서 기존 최고 기법 대비 탐지 정확도 31% 향상
• •최대 오탐률 0.006%로 낮으면서도 네트워크 전체 참여 없이 독립적으로 작동