A Crowdsensing Intrusion Detection Dataset For Decentralized Federated Learning Models

논문 요약: 탈중앙화 연합 학습 (DFL) 을 위한 크라우드 센싱 침입 탐지 데이터셋

1. 문제 정의 (Problem)

• IoT 크라우드 센싱의 보안 위협: 사물인터넷 (IoT) 크라우드 센싱 환경은 분산되고 개방적인 특성으로 인해 멀웨어 및 침입 공격에 취약합니다.
• 기존 ML 의 한계: 기존의 기계 학습 (ML) 기반 침입 탐지는 모든 데이터를 중앙 서버로 전송해야 하므로, 프라이버시 침해 우려와 데이터 집중으로 인한 단일 장애점 (Single Point of Failure) 문제가 발생합니다.
• 중앙 집중형 연합 학습 (CFL) 의 한계: 프라이버시를 보호하는 중앙 집중형 연합 학습 (CFL) 은 중앙 서버에 의존하므로 확장성 병목 현상과 표적 공격에 취약합니다.
• 데이터셋 부재: 탈중앙화 연합 학습 (DFL) 을 평가하기 위한 현실적이고 분산된 벤치마크 데이터셋이 부족하여, IoT 환경에서의 DFL 연구 진전이 저해되고 있습니다. 기존 데이터셋 (NSL-KDD, CICIDS2017 등) 은 중앙 집중식 수집을 전제로 하거나 IoT 특화 이질성 (Heterogeneity) 이 부족합니다.

2. 방법론 (Methodology)

이 연구는 DFL 기반 IoT 침입 탐지를 평가하기 위한 데이터셋 구축 및 실험적 검증을 수행했습니다.

• 실험 환경 구성:

  • 하드웨어: 6 개의 Raspberry Pi 3 와 2 개의 Raspberry Pi 4 로 구성된 8 개의 이종 IoT 디바이스.
  • 플랫폼: ElectroSense 센싱 플랫폼을 활용하여 분산 크라우드 센싱 환경을 시뮬레이션.
  • 모니터링 기간: 정상 상태 (Benign) 와 8 가지 멀웨어 공격 시나리오 하에서 총 288 시간 동안 데이터 수집.

• 멀웨어 패밀리 및 공격 시나리오:

  • 5 가지 주요 멀웨어 패밀리 (봇넷, 백도어, 루트킷, 코인마이너, 랜섬웨어) 의 8 가지 구체적 구현체 포함.
  • 사용된 멀웨어: Bashlite (봇넷), HttpBackdoor/Backdoor/TheTick (백도어), Beurk/Bdvl (루트킷), XMRig (코인마이너), Ransomware-PoC (랜섬웨어).

• 행동 데이터 수집 (6 가지 차원):

  • 각 디바이스에서 다음 6 가지 시스템 차원의 행동을 모니터링:
    1. 자원 사용 (Resource Usage): CPU, 메모리, 디스크, 네트워크 처리량 등.
    2. 커널 이벤트 (Kernel Events): I/O, 메모리 관리, 스케줄링 등.
    3. 시스템 콜 (System Calls): 프로세스 실행 및 커널 인터랙션.
    4. 네트워크 활동 (Network Activity): TCP/UDP 트래픽, 패킷 흐름.
    5. 입출력 (I/O) 연산: 파일 수정, 엔트로피 (암호화 탐지용).
    6. 파일 시스템 (File System): 파일 생성, 삭제, 수정, 저널링 활동.

• 데이터셋 구축 프로세스:

  1. 원시 데이터: 총 21,582,484 개의 레코드 수집.
  2. 정제 및 전처리: 불필요한 메타데이터 제거, 상수 값 제거, 결측치 0 으로 채움.
  3. 시간적 집계 (Temporal Aggregation): 30 초 단위의 고정 시간 창 (Time Window) 으로 데이터를 집계하여 342,106 개의 레코드로 변환.
  4. 특징 추출 및 선택:
     • 초기 687 차원의 특징 벡터 생성.
     • Chi-Squared, ANOVA F-value, Mutual Information 등의 통계적 방법을 통해 가장 중요한 32 개의 특징을 선택 (예: shutdown, geteuid32, write_kbs 등).
     • Min-Max 정규화 적용.

3. 주요 기여 (Key Contributions)

1. 새로운 데이터셋 제공: IoT 크라우드 센싱 환경의 멀웨어 탐지를 위한 최초의 대규모 분산 데이터셋을 공개. 2150 만 개 이상의 원시 로그에서 파생된 34 만 개 이상의 구조화된 레코드를 포함.
2. 다차원 행동 분석: 멀웨어가 IoT 디바이스에 미치는 영향을 네트워크, 시스템 콜, 커널 이벤트 등 6 가지 차원에서 종합적으로 분석하고 특징을 선정.
3. DFL 평가 프레임워크: Nebular 프레임워크를 활용하여 DFL 모델을 훈련하고 평가하는 파이프라인을 구축. 다양한 토폴로지 (Fully Connected, Ring, Star) 와 노드 수 (4~32 개), 데이터 분포 (IID, Non-IID) 에서 실험 수행.
4. 실증적 검증: 제안된 데이터셋이 DFL 환경에서 경쟁력 있는 성능을 내며, 데이터의 로컬성 (Locality) 을 유지하면서도 효과적인 침입 탐지가 가능함을 입증.

4. 실험 결과 (Results)

• 성능 비교:

  • 중앙 집중형 ML (ML): 전체 데이터를 사용할 때 가장 높은 성능 (정확도 0.963, F1 0.963) 을 보임.
  • DFL vs CFL: DFL 은 CFL 보다 대부분의 설정에서 더 나은 성능을 보였으며, 특히 4~8 노드 환경에서 F1 점수 0.95 이상을 기록하여 ML 과 유사한 수준에 근접함.
  • 확장성: 노드 수가 증가할수록 (4 → 32) 각 노드의 데이터 양이 감소하여 성능이 다소 저하되지만, DFL 은 여전히 견고한 성능을 유지.
  • 토폴로지 영향: Fully Connected, Ring, Star 토폴로지 간 성능 차이는 미미했으나, 통신 오버헤드는 토폴로지에 따라 크게 달라짐 (Fully Connected 가 가장 높음).

• 데이터 이질성 (Non-IID) 영향:

  • Dirichlet 분포 파라미터 ($\alpha$) 를 조절하여 데이터 이질성을 시뮬레이션.
  • $\alpha=10$ (거의 IID) 과 $\alpha=1$ (중간) 에서는 성능이 안정적 (F1 약 0.93) 이었으나, $\alpha=0.1$ (매우 이질적) 에서는 성능이 저하됨 (F1 0.807).

• 적대적 공격 (Adversarial Attacks) 내성:

  • 라벨 뒤집기 (Label Flipping) 공격 시, 25% 의 노드가 악성일 때는 모델이 견디지만 (F1 0.843), 50% 이상 악성 노드가 존재하면 성능이 급격히 하락 (F1 0.305) 함. 이는 DFL 의 취약점을 보여주며 방어 메커니즘의 필요성을 시사.

• 수렴 동향:

  • DFL 은 CFL 보다 약간 더 빠르거나 유사한 수렴 속도를 보이며, 데이터의 구조적 일관성이 분산 학습에 적합함을 입증.

5. 의의 및 중요성 (Significance)

• 연구 기반 마련: IoT 크라우드 센싱 환경에서 프라이버시 보호, 확장성, 견고성을 갖춘 분산 침입 탐지 연구를 위한 표준 벤치마크를 제공.
• 실용성: 제한된 리소스를 가진 IoT 디바이스 (Raspberry Pi) 에서 수집된 실제 데이터 기반으로, 이론적 모델의 실용성을 검증할 수 있는 토대를 마련.
• 미래 지향성: 기존 중앙 집중식 데이터셋의 한계를 극복하고, 탈중앙화 보안 연구 (DFL, Byzantine Fault Tolerance 등) 에 필수적인 데이터 소스로 활용 가능.
• 공개성: 원시 로그, 687 차원 특징 데이터, 32 차원 축소 데이터셋, 그리고 데이터 수집 및 처리 코드를 모두 공개하여 연구의 재현성 (Reproducibility) 을 보장.

이 논문은 IoT 보안과 분산 머신러닝의 교차점에서 중요한 자산을 제공하며, 향후 프라이버시 보호형 보안 시스템 개발에 핵심적인 역할을 할 것으로 기대됩니다.