Diffusion-Driven Synthetic Tabular Data Generation for Enhanced DoS/DDoS Attack Classification

당신이 건물에 침입하는 침입자를 포착하도록 보안 요원을 훈련시키고 있다고 상상해 보십시오. 완벽한 세상이라면, 보안 요원은 담을 넘는 사람, 자물쇠를 따는 사람, 창문을 통해 몰래 들어오는 사람 등 모든 유형의 침입자에 대한 수많은 사례를 볼 수 있을 것입니다.

하지만 현실 세계에서는 대부분의 시간 동안 보안 요원은 정문으로 걸어 들어오는 사람들(즉, "정상적인" 활동)만을 보게 됩니다. 실제 침입자는 매우 드뭅니다. 만약 당신이 가진 데이터만으로 보안 요원을 훈련시킨다면, 그는 사람들이 정문으로 걸어 들어오는 것을 포착하는 데는 전문가가 되겠지만, 침입자가 어떤 모습인지 배울 만큼 충분히 보지 못했기 때문에 희귀한 침입자들은 완전히 놓치게 될 것입니다. 컴퓨터 보안의 세계에서는 이를 **클래스 불균형(class imbalance)**이라고 부릅니다.

문제점
연구진은 방대한 네트워크 트래픽 데이터(CIC-IDS2017이라 불림) 목록을 조사했습니다. 그 결과, 수백만 건의 "정상적인" 연결이 있는 반면, 특정 사이버 공격(DoS 또는 DDoS 등)의 사례는 매우 적다는 것을 발견했습니다. 이는 마치 백만 권의 똑같은 책이 있는 도서관에 다른 모든 종류의 책은 단 세 권씩만 있는 것과 같습니다. 만약 컴퓨터에게 그 희귀한 책들을 인식하도록 가르치려 한다면, 공부할 페이지가 충분하지 않기 때문에 실패하게 됩니다.

해결책: "꿈꾸는" 기계
이를 해결하기 위해 저자들은 TabDDPM이라 불리는 특별한 도구를 사용했습니다. 이 도구를 사진의 "흐릿함을 제거하는 데" 매우 능숙한 거장 화가라고 생각하십시오.

작동 방식은 쉬운 용어로 다음과 같습니다:

1. 노이즈: 희귀한 사이버 공격의 선명한 사진을 찍은 다음, 그 위에 모래를 뿌려 형체를 알아볼 수 없는 정적 노이즈 상태로 만든다고 상상해 보십시오.
2. 훈련: AI는 그 노이즈가 섞인 흐릿하고 엉망인 상태에서부터 단계적으로 서서히 깨끗하게 만들어 원래의 선명한 이미지가 다시 나타나도록 하는 법을 배웁니다.
3. 마법: AI가 노이즈를 제거하는 법을 배우고 나면, 우리는 순수한 무작위 노이즈에서 시작하여 AI에게 그것을 "정리하라"고 요청할 수 있습니다. AI는 희귀한 공격이 어떻게 생겼는지 알고 있기 때문에, 거의 실제와 똑같이 보이는 새롭고 가짜인 공격 사례를 만들어냅니다.

결과
연구진은 이렇게 "꿈속에서 만들어낸" 가짜 공격 샘 샘플들을 다시 훈련 데이터에 섞었습니다. 이제 컴퓨터는 특정 공격의 사례를 단 세 개만 가지고 있는 것이 아니라, 수천 개를 가지게 되었습니다.

그 후 이 균형 잡힌 혼합 데이터를 사용하여 컴퓨터 프로그램(ANN 분류기)을 훈련시켰습니다. 그 결과, 컴퓨터는 희귀한 공격을 포착하는 데 놀라울 정도로 능숙해졌습니다. 거의 완전히 놓치던 수준에서 거의 100%에 육박하는 포착율(완벽에 가까운 재현율)로 올라선 것입니다.

핵심 요약
이 논문은 이 "흐릿함을 제거하는" 기술이 사이버 보안에서 희귀한 데이터를 해결하는 강력한 방법이라고 주장합니다. 이는 희귀한 위협을 포착하는 법을 가르치기 위해 AI를 사용하여 현실적인 가짜 데이터를 생성할 수 있음을 입증합니다. 저자들은 또한 이와 동일한 기술이 희귀한 사건을 찾기 어려운 다른 분야, 구체적으로는 사기 탐지와 의료 진단 분야에서도 유용할 수 있다고 언급했습니다.