매일 수십억 개의 장치들이 인터넷을 통해 데이터를 교환하며, 거대하고 보이지 않는 통신의 웹을 만들어냅니다. 이 트래픽의 대부분은 일상적인 요청과 응답이 꾸준히 흐르는 강물처럼 해롭지 않습니다. 하지만 이 흐름 속에는 시스템을 침해하거나 정보를 훔치거나 서비스를 방해하려는 악의적인 행위자들이 숨어 있습니다. 이러한 침입자를 잡아내는 것은 보안 팀에게 끊임나한 도전 과제입니다. 공격자들은 매우 영리하여 전술을 빈번하게 바꾸며, 탐지를 피하기 위해 종종 정상적인 행동을 모방하기 때문입니다. 전통적인 보안 도구들은 공격이 정확히 어떤 모습인지 아는 것에 의존하며, 새로운 트래픽을 알려진 위협의 라이브러리와 비교합니다. 이 방식은 익숙한 위험에는 잘 작동하지만, 새로운 유형의 보이지 않는 공격이 나타날 때는 실패합니다. 이를 해결하기 위해 연구자들은 컴퓨터가 '정상'이 무엇인지를 매우 철저하게 이해하도록 가르쳐서, 마치 건물의 정기적인 리듬을 잘 알고 있는 보안 요원이 누군가 낯선 방식으로 움직이는 것을 즉시 알아차리는 것처럼, 어떠한 일탈도 즉각 눈에 띄게 만드는 다른 전략을 사용하기 시작했습니다.

최근 한 연구에서 프랑스의 연구팀은 이 문제를 해결하기 위해 GraphIDS라고 불리는 새로운 시스템을 제안했습니다. 특정 공격 패턴을 암기하는 대신, 이들의 시스템은 건강한 네트워크 트래픽의 자연스러운 구조를 학습합니다. 그들은 네트워크를 고립된 메시지의 목록이 아니라, 컴퓨터가 위치가 되고 컴퓨터 사이를 흐르는 데이터가 도로가 되는 살아있는 지도로 취급합니다. 이 지도를 연구함으로써, 시스템은 장치들이 보통 서로 어떻게 대화하는지 볼 수 있습니다. 연구진은 두 가지 강력한 인공지능 유형을 결합함으로써, 공격의 예시가 전혀 없어도 정상적인 행동을 학습할 수 있는 모델을 구축할 수 있다는 것을 발견했습니다. 이 시스템은 자신이 본 정상적인 트래픽의 패턴을 재현하려고 시도하는 방식으로 작동합니다. 이상하거나 의심스러운 트래픽을 마주하면, 시스템은 그것을 재현하는 데 어려움을 겪으며, 이 어려움이 잠재적인 위협을 알리는 신호가 됩니다.

이 새로운 방법의 핵심은 연구진이 데이터를 조직하는 방식에 있습니다. 그들은 NetFlow 데이터로 알려진 네트워크 트래픽의 원시 기록을 가져와 그래프로 변환했습니다. 이 그래프에서 네트워크의 모든 컴퓨터는 하나의 점이 되고, 두 컴퓨터 사이의 모든 연결은 하나의 선이 됩니다. 각 선은 전송된 패킷의 수나 어떤 종류의 데이터가 전송되었는지와 같은 대화에 대한 세부 정보를 담고 있습니다. 시스템의 첫 번째 부분인 그래프 신경망(graph neural network)은 국소적 관찰자 역할을 합니다. 이는 특정 연결을 살펴보고 관련된 컴퓨터들의 즉각적인 이웃들을 조사합니다. 이 시스템은 "이 컴퓨터는 지금 누구와 대화하고 있는가?" 또는 "이 대화가 이 그룹에 전형적인 것인가?"와 같은 질문을 던집니다. 이를 통해 시스템은 단일 데이터 흐름의 국소적 맥락을 이해하고, 일상적인 행동을 정의하는 소규모 패턴을 포착할 수 있습니다.

시스템이 이러한 국소적 세부 사항을 이해하고 나면, 정보를 전체적인 그림을 보는 두 번째 부분인 트랜스포머 기반 엔진으로 전달합니다. 이 구성 요소는 많은 연결을 그룹화하고 이들이 전체 네트워크에 걸쳐 서로 어떻게 연관되는지 분석합니다. 이는 특정 컴퓨터 그룹이 자주 통신하는 방식이나 시간대에 따라 트래픽이 보통 어떻게 흐르는지와 같은 시스템의 글로벌한 습성을 학습합니다. 이 시스템을 가르치기 위해 연구진은 마스크드 오토인코더(masked autoencoder)라고 불리는 기술을 사용했습니다. 완성된 정상 트래픽의 그림을 보여주되, 그 중 작은 조각들을 숨긴다고 상상해 보십시오. 시스템의 임무는 나머지 이미지를 바탕으로 숨겨진 조각들이 어떻게 보여야 하는지 추측하는 것입니다. 오직 안전하고 정상적인 트래픽만으로 훈련되기 때문에, 시스템은 건강한 연결이 어떻게 보여야 하는지 예측하는 데 매우 능숙해집니다. 시스템은 게임의 규칙을 매우 잘 학습하여, 마주치는 모든 정상적인 흐름에 대해 빈칸을 채울 수 있습니다.

이 접근 방식의 진정한 힘은 시스템이 새로운 것을 마주했을 때 드러납니다. 만약 악성 흐름이 나타나면, 그것은 시스템이 학습한 규칙을 깨뜨립니다. 시스템이 자신의 훈련을 바탕으로 이 이상한 흐름이 어떻게 보여야 하는지 예측하려고 할 때, 시스템은 실패합니다. 예측은 형편없어지며, 시스템이 예상했던 것과 실제로 일어난 일 사이의 차이는 커집니다. 연구진은 이 차이를 재구성 오차(reconstruction error)라고 부릅니다. 테스트에서 그들은 이 오차가 침입을 알리는 신뢰할 수 있는 신호임을 발견했습니다. 공격의 일부인 흐름은 일관되게 높은 오차를 생성한 반면, 정상적인 트래픽은 낮은 오차를 생성했습니다. 이를 통해 시스템은 훈련 단계에서 단 하나의 공격 예시도 보여주지 않고도 잠재적인 위협을 식별할 수 있었습니다.

연구팀은 서로 다른 환경에서 추출한 수백만 개의 네트워크 흐름을 포함하는 두 개의 대규모 실제 데이터셋을 사용하여 시스템을 테스트했습니다. 한 데이터셋은 더 작은 네트워크에서 왔고, 다른 하나는 훨씬 더 크고 복잡한 인프라를 나타냈습니다. 두 경우 모두 시스템은 놀라운 정확도로 작동했습니다. 작은 데이터셋에서는 매우 낮은 오보율을 유지하면서 거의 모든 공격을 정확히 식별했습니다. 더 크고 도전적인 데이터셋에서도 기존 방식들을 상당한 차이로 앞질렀으며, 일부 척도에서는 완벽에 가까운 점수를 달성했습니다. 연구진은 자신들의 작업을 레이블이 지정된 공격 데이터 없이 이상 징후를 탐지하려고 시도하는 다른 고급 시스템들과 비교했습니다. 그들의 시스템은 일관되게 더 높은 순위를 차지하며, 그래프 신경망의 국소적 관점과 트랜스포머의 글로벌 관점을 결합하는 것이 어느 한쪽만을 사용하는 것보다 더 효과적임을 증명했습니다.

가장 중요한 발견 중 하나는 시스템이 공격이 무엇인지 배우기 위해 알려질 필요가 없었다는 점입니다. 정상적인 행동을 재구성하는 데 전적으로 집중함으로써, 모델은 자연스럽게 그에 맞지 않는 모든 것을 거부하는 법을 배웠습니다. 이는 현실 세계에서 공격자들이 항상 새로운 속임수를 발명해내고, 보안 팀이 컴퓨터에게 가능한 모든 위협의 변형을 가르칠 만큼 충분한 레이블링된 데이터를 가지고 있지 않은 경우가 많기 때문에 매우 중요한 이점입니다. GraphIDS 시스템은 정상의 형태를 학습함으로써 이 문제를 우회합니다. 트래픽이 안전해 보인다면 시스템은 그것을 쉽게 재구성할 수 있습니다. 만약 위험해 보인다면 시스템은 비틀거리게 되며, 그 비틀거림이 바로 경보가 됩니다.

연구진은 또한 시스템의 특정 부분을 제거했을 때 어떤 일이 발생하는지 탐구했습니다. 그래프 구성 요소를 제거하고 시스템에 원시 데이터만 입력했을 때, 특히 더 크고 복잡한 네트워크에서 성능이 떨어졌습니다. 이는 장치 간의 연결을 이해하는 것이 미묘한 공격을 포착하는 데 필수적임을 보여주었습니다. 마찬가지로, 고급 트랜스포머 엔진을 더 단순한 것으로 교체했을 때 시스템은 여전히 잘 작동했지만, 덜 일관적이었고 약간 덜 정확했습니다. 이러한 테스트들은 국소적 맥락과 글로벌 패턴이 모두 시스템이 잠재력을 최대한 발휘하는 데 필요하다는 것을 확인시켜 주었습니다. 이 연구는 침입을 탐지하는 최선의 방법은 단순히 나쁜 행동의 목록을 암기하는 것이 아니라, 네트워크의 구조와 습성을 깊이 이해하는 모델을 구축하는 것임을 시사합니다.

결과는 유망하지만, 연구진은 완벽한 시스템은 없다는 점을 인정합니다. 그들의 모델은 네트워크가 일정 시간 동안 비교적 일관되게 행동한다고 가정합니다. 만약 네트워크가 대규모 업그레이드나 사용자 행동의 급격한 변화와 같이 크게 변한다면, 시스템은 혼란을 느껴 오보를 낼 수 있습니다. 그들은 향-후 연구가 시스템이 완전히 재학습을 요구하는 대신, 네트워크가 진화함에 따라 지속적으로 적응하도록 가르치는 방향으로 진행될 수 있다고 제안했습니다. 또한 그들은 단일 장치만을 모니터링하는 시나리오에서는 시스템이 더 넓은 네트워크 맥락을 볼 수 없기 때문에 활용할 수 있는 정보가 적다는 점을 언급했습니다. 이러한 한계에도 불구하고, 이 연구는 우리가 디지털 인프라를 보호하는 방법에 있어 중요한 진전을 보여줍니다. 국소적 연결과 글로벌 패턴을 통합함으로써, GraphIDS 시스템은 네트워크의 리듬을 학습하여 침입자의 불협화음을 들을 수 있는 견고하고 자기 지도적인 방식으로 네트워크를 안전하게 지킵니다.