NOS-Gate: Queue-Aware Streaming IDS for Consumer Gateways under Timing-Controlled Evasion

기술 요약: NOS-Gate – 타이밍 제어 회피 환경 하의 소비자용 게이트웨이를 위한 큐 인지형 스트리밍 IDS

문제 정의
소비자용 게이트웨이는 암호화된 IoT 기기와 클라우드 서비스 사이에 위치하여 심층 패킷 검사(DPI)를 수행하는 데 한계가 있습니다. 암호화는 페이로드의 내용을 숨기지만, 패킷 타이밍, 크기, 버스트 구조와 같은 사이드 채널은 제거하지 못합니다. 이러한 메타데이터 신호는 기기 식별 및 보안 모니터링에 활용될 수 있습니다. 그러나 중요한 운영상의 과제는, 적응형 공격자가 은닉된 공격 목적을 수행하면서도 정상적인 기기의 리듬을 모방하기 위해 패킷 도착 간격(IAT)과 버스트 패턴을 재구성할 수 있다는 점입니다. 이러한 "타이밍 제어 회피(timing-controlled evasion)"는 정적 임계값이나 오프라인 정확도에 의존하는 메타데이터 전용 탐지 시스템을 무력화합니다. 또한, 소비자용 게이트웨이는 CPU 사용량과 지연 시간에 대한 엄격한 제약 조건 하에서 작동하므로, 대규모 모델이나 무거운 학습은 실행 불가능합니다. 본 논문이 다루는 핵심 문제는 단독형 게이트웨이가 메타데이터만을 사용하여 이러한 타이밍 변형 공격을 충분히 빠르게 탐지하여 조치를 취할 수 있는지, 그리고 낮은 오경보율을 유지하면서 결과적인 완화 조치가 사용자 가시적인 큐 피해를 악화시키지 않고 실제로 줄일 수 있는지 여부입니다.

방법론
본 논문은 소비자용 게이트웨리에 특화되어 설계된 스트리밍 침입 탐지 시스템(IDS)인 NOS-Gate를 제안합니다.

• 아키텍처: NOS-Gate는 각 네트워크 흐름(flow)에 대해 네트워크 최적화 스파이킹(NOS) 역학에서 유도된 경량화된 2상 동적 유닛(two-state dynamical unit)을 구현합니다.
  • 상태 $v$ (증거 축적): 정규화된 메타데이터 특징이 정상 패턴에서 벗어날 때 상승하는 유계된 증거 큐(bounded evidence queue) 역할을 합니다. 여기에는 무제한적인 축적을 방지하기 위한 누출(leak) 항과 희귀한 과도 현상에 대한 민감도를 줄이기 위한 유계된 비선형성이 포함됩니다.
  • 상태 $u$ (회복/억제): 지속적인 상승 시 증가하며, 반복적인 트리거링을 억제하기 위해 음의 피드백(hysteresis)을 제공하는 회복 상태입니다.
  • 입력: "외생적 구동(exogenous drive)"은 원래의 NOS에서의 큐 간섭에서 재해석되어, 정규화된 메타데이터 특징(타이밍, 크기, 경합, 그리고 선택적인 DNS/TLS 핸드셰이크 데이터)으로부터 계산된 스칼라 증거 신호($E_{i,t}$)로 기능합니다.
• 탐지 로직: 시스템은 고정 길이 윈도우(250 ms)의 메타데이터를 스코어링합니다. 결정을 안정화하고 플래핑(flapping)을 방지하기 위해, 최근 $M$개의 윈도우 중 $K$개의 알람이 발생하는 경우에만 흐름을 실행 가능한 것으로 간주하는 K-of-M 지속성 규칙을 적용합니다.
• 조치 메커니즘: 지속적인 알람이 발생하면, NOS-Gate는 가역적인 완화 조치를 트리거합니다. 즉, 플래그가 지정된 흐름의 가중치를 가중 페어 큐잉(WFQ) 하에서 일시적으로 감소시킵니다. 이는 흐름을 즉시 차단하지 않으면서, 공격에 대한 큐 꼬리(queue-tail) 손해를 줄이는 동시에 정상 트래픽에 대한 부수적 지연을 제한하는 것을 목표로 합니다.
• 교정 프로토콜(Calibration Protocol): 시스템은 단독형, 레이블 프리(label-free) 모드로 작동합니다. 각 흐름에 대해 고분위수 임계값(예: 99.9번째 백분위수)을 계산하기 위해 가정된 정상 상태의 "번인(burn-in)" 세그먼트를 사용하며, 이 임계값은 테스트 단계 동안 고정됩니다. 레이블은 성능 지표 보고를 위해서만 사용되며, 학습이나 튜닝에는 사용되지 않습니다.

평가 프레임워크: "Worlds" 벤치마크
타이밍 제어 회피 환경 하에서 시스템을 엄격하게 평가하기 위해, 저자들은 실행 가능한 "worlds" 벤치마크를 도입합니다.

• 구조: "World"는 정상적인 기기 프로세스, 악성 에피소드 생성기, 그리고 경합 구조(스케줄링 도메인을 공유하는 흐름들의 클리크)를 포함하는 완전히 명시되고 재현 가능한 합성 인스턴스입니다.
• 공격자 예산: 공격은 감사 가능한 운영 예산에 의해 제약됩니다:
  1. 처리량 하한 ($R_{min}$): 공격은 최소 데이터 전송률을 유지해야 합니다.
  2. 타이밍 왜곡 ($\epsilon$): 악성 도착 간격(IAT) 분포와 정상 참조 분포 사이의 와서스테인 거리(Wasserstein distance)가 임계값 미만으로 유지되어야 합니다.
  3. 경합 은닉성 ($\delta_q$): 공격은 경합 클리크의 평균 큐잉 지연을 정상 트래픽에 비해 크게 증가시켜서는 안 됩니다.
• 실행 가능성: 벤치마크에는 특정 예산 세트가 실행 가능한지 판단하는 프로토콜이 포함되어 있으며, 실행 불가능할 경우 생성기는 실행 가능성을 복구하거나 실행 불가능함을 보고합니다.
• 영향 측정: 평가는 패킷 레벨의 WFQ 재현(replay)을 통해 게이팅 조치 하에서의 큐 꼬리 지연(p99.9) 및 부수적 지연(경합 클리크 내 정상 흐름에 미치는 영향)을 정량화하는 방식으로 이루어집니다.

주요 기여

1. NOS-Gate 탐지기: NOS 역학을 흐름 수준의 침입 탐지로 매핑하고, 직접적인 조치 훅(WFQ 우선순위 저하)을 갖춘 스트리밍, 메타데이터 전용 IDS입니다.
2. 실행 가능한 Worlds 벤치마크: 타이밍 형태의 공격 하에서 큐 꼬리 및 부수적 결과를 측정할 수 있도록, 경합 구조와 감사 가능한 공격자 예산을 공개한 재현 가능한 벤치마크입니다.
3. 표준화된 운영 프로토콜: 번인 분위수 임계값 지정 방식을 사용하는 단독형, 레이블 프리 교정법을 통해, 감독 학습 없이도 명시적인 오경보 예산을 고정하고 탐지 및 조치 영향을 공정하게 비교할 수 있게 합니다.

결과
엄격한 0.1% 오경보율(FPR) 작동 지점 하에서 여러 재현 가능한 월드와 악성 에피소드를 대상으로 평가한 결과는 다음과 같습니다:

• 탐지 성능: NOS-Gate는 **0.952의 사건 재현율(incident recall)**을 달 기록했습니다(21건 중 1건만 놓침). 이는 가장 우수한 베이스라인인 TinyGRU(0.857 재현율)와 다른 레이블 프리 베이스라인들(KitNET, Autoencoder)을 능가하는 수치입니다. 지속성 규칙 덕분에 NOS-Gate는 완만한 편차를 시간에 따라 축적할 수 있었으며, 이는 타이밍 제어 공격자가 점수를 고분위수 임계값 아래로 낮추는 것을 어렵게 만들었습니다.
• 큐 영향: WFQ 게이팅이 활성화되었을 때, NOS-Gate는 게이팅 없는 베이스라인 재현과 비교하여 p99.9 큐잉 지연(약 3.24 ms 감소)과 p99.9 부수적 지연(약 3.16 ms 감소)을 모두 일관되게 개선한 유일한 방법이었습니다. 다른 방법들은 게이팅 시 덜 정밀한 타겟팅으로 인해 오히려 꼬리 지연을 증가시키는 경우가 많았습니다.
• 효율성: NOS-Gate는 표준 CPU에서 흐름 윈도우당 평균 ≈2.09 µs의 스코어링 비용을 보여주었으며, 이는 컴팩트한 오토인코더와 유사하고 KitNET 및 TinyGRU보다 현저히 빨랐습니다.

의의 및 주장
본 논문은 NOS-Gate가 특정 배포 격차를 해결한다고 주장합니다: 즉, 타이밍 회피에도 정확할 뿐만 아니라, 단순히 알람을 생성하는 것을 넘어 사용자 가시적인 네트워크 성능(큐 결과)을 실질적으로 개선할 수 있는 조치를 취할 수 있는 게이트웨이 IDS가 필요하다는 것입니다.

• 주장의 겸손함: 저자들은 자신들이 페이로드 검사, ISP급 펌웨어 배포, 또는 합성 월드가 모든 실제 세계의 데이터셋을 완벽하게 재현한다는 주장을 하지 않는다고 명시합니다.
• 핵심 기여: 본 연구는 회피와 큐 영향 모두를 측정 가능하게 만드는 **검증 가능한 프로토콜