Explainable Autoencoder-Based Anomaly Detection in IEC 61850 GOOSE Networks

기술 요약: IEC 61850 GOOSE 네트워크를 위한 설명 가능한 오토인코더 기반 이상 탐지

문제 정의
IEC 61850 Generic Object-Oriented Substation Event (GOOSE) 프로토콜은 디지털 변전소의 실시간 보호 및 자동화에 매우 중요합니다. 그러나 이 프로토콜은 보안보다 저지연 통신을 우선시하도록 설계되어, 네이티브 암호화나 인증 메커니즘이 결여되어 있습니다. 이러한 취약점은 메시지 억제(Message Suppression, MS), 데이터 조작(Data Manipulation, DM), 서비스 거부(Denial-of-Service, DoS)와 같은 정교한 사이버 공격에 전력 시스템을 노출시킵니다. 전통적인 규칙 기반 및 지도 학습 기반 침입 탐지 시스템(IDS)은 알려진 공격 시그니처에 의존하기 때문에 이러한 맥락에서 어려움을 겪으며, 운영 환경 내 라벨링된 공격 데이터의 부족, 그리고 정상 동작을 모방하는 제로 데이(zero-day) 또는 프로토콜 준수형 공격을 탐지하는 데 한계가 있습니다. 또한, 정상 트래픽과 희귀한 공격 이벤트 사이의 극심한 클래스 불균형은 지도 학습 모델의 학습을 복잡하게 만듭니다.

방법론
본 논문은 의미적 무결성(프로토콜 시퀀싱 규칙)과 시간적 가용성(타이밍 및 전송 역학)을 명시적으로 분리하는 비지도 학습 기반의 설명 가능한 멀티 뷰(multi-view) 이상 탐지 프레임워크를 제안합니다. 방법론은 다음 단계로 진행됩니다:

1. 특징 공학(Feature Engineering): GOOSE 트래픽은 0.1, 0.5, 1.0, 3.0초의 슬라이딩 윈도우($T_w$)를 사용하여 처리됩니다. 특징은 두 개의 서로 분리된 집합으로 분해됩니다:

   • 시퀀스 기반 특징($F_{seq}$): 상태 번호 증가($stNum$), 시퀀스 번호 진화($sqNum$), 목적지 주소 유효성을 포함한 IEC 61850 애플리케이션 계층의 의미론적 정보로부터 도출됩니다.
   • 시간적 특징($F_{temp}$): 패킷 도착 간격, 패킷 전송률, 지터(jitter), 프레임 길이, Time-Allowed-To-Live (TTL) 값을 포함한 전송 역학을 기술합니다.

2. 비대칭 오토인코더(Asymmetric Autoencoder, AE) 구조: 두 개의 별도 오토인코더가 실제 운영 중인 GOOSE 트래픽(정상 데이터만 포함)만을 사용하여 학습됩니다:

   • Semantic AE는 비선형 프로토콜 의존성을 포착하기 위해 더 깊은 구조를 사용하여 $F_{seq}$를 처리합니다.
   • Temporal AE는 볼륨 기반 플러딩(flooding) 동작의 재구성을 방지하기 위해 더 좁은 병목(bottleneck) 구조를 사용하여 $F_{temp}$를 처리합니다.
   • 두 모델 모두 정상 트래픽의 압축된 잠재 표현(latent representation)을 학습합니다.

3. 이상 점수 산출 및 임계값 설정: 이상 탐지는 입력 데이터의 재구성 오차(Mean Squared Error)를 기반으로 합니다. 고정된 임계값 대신, 본 프레임워크는 정상 학습 데이터의 재구성 오차 분포의 꼬리(tail) 부분을 모델링하기 위해 **극치 이론(Extreme Value Theory, EVT)**을 채택합니다. 이를 통해 각 뷰에 대해 통계적으로 근거가 있고 동적인 임계값($z^*$)을 생성합니다. 재구성 오차가 각각의 임계값을 초과하는 윈도우는 이상 징후로 분류됩니다.

4. 설명 가능성(Explainability): 본 프레임워크는 제곱 재구성 오차에 기반하여 개별 특징 기여도를 분해함으로써 내재적 해석 가능성을 제공합니다. 이는 대리 모델(surrogate model) 없이도 탐지 결과를 특정 IEC 61850 프로토콜 특성과 직접 연결합니다.

주요 기여

• 멀티 뷰 분리: 의미적 역학과 시간적 역학의 명시적 분리는 GOOSE 트래픽의 서로 다른 행동 양식을 다룰 수 있게 하며, 이는 단일 모델 접근 방식에서 흔히 발생하는 혼재 문제를 해결합니다.
• 실제 데이터를 활용한 비지도 학습: 이 접근 방식은 학습을 위한 라벨링된 공격 데이터에 대한 의존성을 제거하며, 실제 운영 트래픽만을 사용하여 정상 동작을 학습함으로써 산업 제어 시스템에서의 공격 샘플 부족 문제를 해결합니다.
• 통계적 근거를 가진 임계값 설정: 동적 임계값 설정을 위한 EVT의 사용은 심각한 클래스 불균형 상황에서도 견고한 탐지를 보장하는 동시에 오탐(false positive)을 제어합니다.
• 내재적 설명 가능성: 특징 수준의 재구성 오차를 분석함으로써, 시스템은 특정 프로토콜 위반(예: 시퀀스 번호 불연속 또는 타이밍 플러딩)과 연계된 탐지 결과에 대한 직접적인 통찰력을 제공합니다.

실험 결과
프레임워크는 학습을 위해 고전압 변전소에서 수집된 실제 데이터셋과, 라벨링된 MS, DM, DoS 공격이 포함된 공개 데이터셋을 사용하여 평가되었습니다.

• 탐지 성능: Semantic AE는 모든 공격 유형과 윈도우 크기에 대해 일관되게 높은 재현율(Recall, 종종 1.00)을 달 기록하며, 시퀀싱 규칙의 중단을 효과적으로 탐지했습니다. Temporal AE는 타이밍 특징의 본질적인 가변성으로 인해 정밀도(Precision)는 낮았으나, 대부분의 시나리오에서 0.80 이상의 재현율을 유지했습니다.
• 오탐(False Positives): 오탐 비율은 전체 트래픽 볼륨의 5% 미만으로 유지되었으며, 이는 공격이 드문 운영 변전소 환경에서 허용 가능한 수준으로 간주됩니다.
• 윈도우 크기의 영향: 중간 정도의 윈도우 길이($T_w = 0.5$ s 및 $1.0$s)가 시간적 해상도와 안정성 사이의 최적의 절충안을 제공했습니다. 짧은 윈도우($0.1$s)는 노이즈에 대한 민감도를 높였고, 긴 윈도우($3.0$ s)는 단기적인 이상 징후를 완화(smoothing)시켰습니다.
• 일반화 능력: 모델은 실제 베이스라인 트래픽과 합성된 정상 샘플을 동일한 압축된 잠재 영역으로 매핑하는 동시에, 공격 샘플을 별도의 영역으로 분리함으로써 강력한 일반화 능력을 입증했습니다.

의의 및 주장
저자들은 본 프레임워크가 라벨링된 공격 데이터를 사용할 수 없는 상황, 특히 IEC 61850 GOOSE 네트워크에서 견고한 이상 탐지 솔루션을 제공한다고 주장합니다. 의미적 뷰와 시간적 뷰를 분리함으로써, 시스템은 단일 모델 탐지기가 놓칠 수 있는 GOOSE 동작의 상호 보완적인 측면들을 포착합니다. 비대칭 오토인코더, EVT 기반 임계값 설정, 그리고 특징 수준의 속성 부여의 결로, 시스템은 해석 가능한 결과를 바탕으로 MS, DM, DoS 공격을 정확하게 탐지할 수 있습니다. 본 논문은 이 접근 방식이 특정 공격 시그니처에 의존하기보다 정상적인 프로토콜 구조에 기반함으로써, 이전에 알려지지 않은 공격이 존재하는 운영 환경에도 적합하다고 단언합니다.