Enhancing Adversarial Robustness of IoT Intrusion Detection via SHAP-Based Attribution Fingerprinting

1. 연구 배경 및 문제 정의 (Problem)

• 배경: 사물인터넷 (IoT) 장치의 급격한 확산은 산업 전반에 혁신을 가져왔으나, 동시에 분산 서비스 거부 (DDoS), 미라이 봇넷, 데이터 주입 등 정교한 보안 위협에 노출되었습니다. 이에 대응하기 위해 머신러닝 (ML) 및 딥러닝 (DL) 기반 침입 탐지 시스템 (IDS) 이 널리 도입되었습니다.
• 문제점:
  1. 적대적 공격 (Adversarial Attacks) 에 취약: DL 기반 IDS 는 '블랙박스' 모델로서 내부 의사결정 과정이 불투명하며, 공격자가 입력 데이터를 미세하게 조작 (Perturbation) 하여 탐지를 회피하거나 오분류를 유도하는 적대적 공격에 매우 취약합니다.
  2. 기존 방어 기법의 한계: 적대적 학습 (Adversarial Training), 이상 탐지, 입력 재구성 등 기존 방어 방법들은 계산 오버헤드가 크고, 정상 데이터에 대한 정확도가 떨어지며, 진화하는 위협에 대한 적응력이 부족합니다. 또한, 이러한 방법들은 모델의 투명성과 해석 가능성 (Interpretability) 을 제공하지 못해 신뢰성을 저해합니다.
  3. IoT 환경의 제약: IoT 는 제한된 컴퓨팅 자원과 실시간 통신 요구사항을 가지므로, 무거운 방어 메커니즘 적용이 어렵습니다.

2. 제안된 방법론 (Methodology)

저자들은 **SHAP(SHapley Additive exPlanations) 기반의 속성 지문 (Attribution Fingerprinting)**을 활용한 새로운 비지도 적대적 탐지 모델을 제안합니다. 핵심 아이디어는 "적대적 공격은 입력 공간에서는 유사해 보이지만, 모델 내부의 특징 기여도 (Feature Attribution) 패턴을 왜곡시킨다"는 점입니다.

• SHAP 속성 지문 생성:

  • SHAP 의 DeepExplainer 를 사용하여 네트워크 트래픽 데이터의 각 특징 (Feature) 이 모델 예측에 기여하는 정도 (SHAP 값) 를 계산합니다.
  • 이 SHAP 값 벡터를 '속성 지문 (Attribution Fingerprint)'으로 정의합니다.
  • 정상 (Clean) 데이터와 적대적 (Adversarial) 데이터는 시각적으로는 비슷할 수 있으나, SHAP 기반의 특징 중요도 순위 (Rank) 와 기여도 패턴에서 뚜렷한 차이를 보입니다.

• 적대적 침입 탐지 모델 (Autoencoder 기반):

  • 구조: 딥 오토인코더 (Deep Autoencoder) 를 사용합니다. 인코더는 SHAP 지문 벡터를 잠재 공간 (Latent Space) 으로 매핑하고, 디코더는 이를 재구성합니다.
  • 학습: 정상 (Clean) 데이터의 SHAP 지문만을 사용하여 오토인코더를 학습시킵니다. 즉, 공격 데이터 레이블이 필요 없는 비지도 학습 방식입니다.
  • 탐지 원리: 학습된 모델은 정상 데이터의 SHAP 패턴을 잘 재구성하지만, 적대적 공격으로 인해 왜곡된 SHAP 지문은 높은 **재구성 오차 (Reconstruction Error)**를 발생시킵니다.
  • 판단: 재구성 오차가 임계값 ($\tau$) 을 초과하면 해당 입력을 '적대적 공격'으로 판정합니다.

• 적대적 공격 시나리오:

  • 연구에서는 FGSM, PGD, DeepFool 등 3 가지 대표적인 그래디언트 기반 적대적 공격을 시뮬레이션하여 모델의 견고성을 평가했습니다.

3. 주요 기여 (Key Contributions)

1. 새로운 비지도 탐지 모델 제안: 라벨링된 공격 데이터 없이 SHAP 기반 속성 지문과 딥 오토인코더를 결합하여 IoT IDS 의 적대적 공격 탐지 능력을 향상시켰습니다.
2. 지문 생성 파이프라인 개발: IoT 트래픽 데이터를 처리하고, 적대적 샘플을 생성하며, 정상/악성 샘플에 대한 SHAP 기반 지문을 계산하는 통합 파이프라인을 구축했습니다.
3. 공격별 특징 순위 변화 분석: SHAP 를 통해 다양한 공격이 모델의 특징 중요도 순위 (Rank Shift) 에 미치는 영향을 정량화했습니다. 예를 들어, 'Number' 특징은 공격에 강건하지만, 'IAT', 'IRC' 등은 공격에 따라 순위가 크게 변동하는 것을 확인했습니다.
4. 성능 및 해석 가능성 동시 달성: 기존 최첨단 방어 기법 (적대적 학습) 보다 우수한 탐지 성능을 보이면서도, XAI(Explainable AI) 기술을 통해 모델의 의사결정 근거를 제공하여 신뢰성을 높였습니다.

4. 실험 결과 (Results)

• 데이터셋: 대규모 IoT 벤치마크인 CIC-IoT2023 데이터셋을 사용했습니다.
• 비교 대상: 제안된 SHAP 기반 모델 vs. 적대적 학습 (Adversarial Training) 을 적용한 베이스라인 모델.
• 주요 성과:
  • 정확도 (Accuracy): 제안 모델은 FGSM, PGD, DeepFool 공격 모두에서 99% 이상의 높은 정확도를 기록했습니다. (예: DeepFool 공격 시 제안 모델 정확도 0.9930 vs 베이스라인 0.8192)
  • 오검출 (False Negative Rate, FNR): 적대적 공격을 놓치는 비율이 극히 낮았습니다. DeepFool 공격 시 제안 모델의 FNR 은 0.0096(96 건) 인 반면, 베이스라인은 0.3351(3,351 건) 로 훨씬 높았습니다.
  • 오경보 (False Positive Rate, FPR): 정상 트래픽을 공격으로 잘못 판단하는 비율이 0.45% (45 건) 로 매우 낮아, 시스템의 가용성을 해치지 않았습니다.
  • 재구성 오차 분포: 정상 샘플은 임계값 ($\tau=0.02$) 아래에 밀집되어 있고, 적대적 샘플은 임계값을 크게 초과하는 명확한 분리를 보여주어 탐지 메커니즘의 유효성을 입증했습니다.
  • 공격 성공률 (ASR): 제안 모델은 모든 공격 유형에서 ASR 을 1% 미만 (최대 0.96%) 으로 억제하여, 기존 방법 (최대 33.51%) 보다 훨씬 강력한 방어력을 보였습니다.

5. 의의 및 결론 (Significance & Conclusion)

• IoT 환경 적합성: 이 방법은 공격 데이터로 모델을 재학습할 필요가 없으며, SHAP 값 계산과 오토인코더 추론만으로 동작하므로 제한된 자원을 가진 IoT 엣지 장치에 배포하기에 효율적입니다.
• 신뢰성 및 투명성 강화: 단순히 공격을 막는 것을 넘어, "왜 이 입력을 공격으로 판단했는지"에 대한 SHAP 기반의 설명을 제공함으로써 보안 운영자의 신뢰를 높이고, 시스템의 투명성을 확보했습니다.
• 미래 전망: 본 연구는 IoT 보안 분야에서 적대적 공격에 대한 견고한 방어와 해석 가능한 AI 의 결합을 성공적으로 입증했습니다. 향후에는 다중 클래스 탐지로 확장하고, 적응형 온라인 학습을 통해 제로데이 (Zero-day) 공격에 대응하는 방향으로 연구가 진행될 예정입니다.

이 논문은 **적대적 머신러닝 (Adversarial ML)**과 **설명 가능한 AI (XAI)**를 융합하여 IoT 보안의 핵심 과제를 해결한 획기적인 접근법으로 평가됩니다.