An Optimized Decision Tree-Based Framework for Explainable IoT Anomaly Detection

기술 요약: 설명 가능한 IoT 이상 탐지를 위한 최적화된 의사결정 나무 기반 프레임워크

문제 정의
사물인터넷(IoT) 기기의 급격한 확산은 사이버 위협 표면을 크게 확장시켰으며, 이에 따라 강력한 침입 탐지 시스템(IDS)이 필요해졌습니다. 그러나 기존의 IoT IDS 솔루션은 세 가지 핵심적인 과제에 직면해 있습니다: 고차원 및 불균형 데이터 처리에 어려움을 겪고, 자원이 제한된 엣지 디바이스에 적용하기에는 계산 비용이 너무 높으며, 해석 가능성이 부족하다는 점입니다. 고성능 모델(예: 딥러닝 앙상블)의 "블랙박스" 특성은 신뢰를 저해하고 새로운 AI 투명성 규정 준수를 방해합니다. 결과적으로, 엣지 디바이스에 실시간 배포가 가능한 가볍고 정확하며 투명한 탐지 프레임워크가 절실히 필요합니다.

방법론
저자들은 투명성을 보장하기 위해 설명 가능한 AI(XAI) 기술과 통합된 최적화된 의사결정 나무(Decision Tree, DT) 분류기를 중심으로 한 프레임워크를 제안합니다. 방법론은 다음과 같은 구조화된 파이프라인을 따릅니다:

1. 데이터 수집 및 전처리: 본 연구는 정상 샘플 16,318개, 스푸핑(Spoofing) 샘플 1,124개, 데이터 변조(Data Alteration) 샘플 922개로 구성된 WUSTL-EHMS-2020 데이터셋을 활용합니다. 전처리 과정에는 중복 제거, 범주형 변수에 대한 레이블 인코딩, 그리고 사분위수 범위(IQR) 기법(이상치를 평균값으로 대체)을 통한 이상치 처리가 포함됩니다. 학습 안정성을 확보하기 위해 z-score 정규화를 사용하여 특성을 정규화합니다.
2. 특성 선택 (Feature Selection): 차원을 축소하고 일반화 능력을 높이기 위해 저자들은 2단계 선택 과정을 채택합니다:
   • 카이제곱 검정 (Chi-Square Test): 무관한 변수를 제거하기 위해 p-값이 0.05보다 큰 특성을 폐기합니다.
   • 교차 검증을 포함한 재귀적 특성 제거 (RFE with Cross-Validation): 가장 예측력이 높은 특성 부분 집합을 식별합니다. 피어슨 상관 분석을 통해 특성을 추가로 정제하여 조정된 p-값이 0.05 미만인 특성만을 유지합니다.
3. 데이터 균형화: 학습 세트의 클래스 불균형 문제를 해결하기 위해, 소수 클래스(스푸핑 및 데이터 변조)를 랜덤 오버샘플링을 통해 다수 클래스(정상)와 일치하도록 오버샘플링하여 총 34,272개의 균형 잡힌 학습 세트를 생성합니다.
4. 모델 학습 및 베이스라인 비교: 실제 환경의 변동성을 시뮬레이션하기 위해 가우시안 노이즈 주입(원래 표준 편차의 15%)이 적용됩니다. 제안된 최적화된 DT를 학습시키고 이를 Random Forest, K-Nearest Neighbors (KNN), Multi-Layer Perceptron (MLP), CatBoost와 같은 베이스라인 분류기와 비교합니다.
5. 설명 가능성 통합: 프레임워크는 두 가지 XAI 방법을 통합합니다:
   • SHAP (SHapley Additive exPlanations): 국소적(local) 및 전역적(global) 특성 기여도를 제공합니다.
   • 모리스 민감도 분석 (Morris Sensitivity Analysis): 입력 섭동(perturbation)의 전체적인 효과를 측정하여 비선형 효과 및 상호작용을 포함한 전역적 특성 중요도를 식별합니다.

주요 기여

• 최적화된 의사결정 나무 프레框架: 높은 정확도와 낮은 계산 오버헤드의 균형을 맞추며, IoT 환경에 특화되어 튜닝된 경량 DT 분류기를 개발했습니다.
• 포괄적인 전처리 파이프라인: IoT 트래픽에 맞춤화된 노이즈 감소, 정규화 및 클래스 불균형 처리를 포함하는 견고한 파이프라인을 구현했습니다.
• 이중 모드 설명 가능성: SHAP와 모리스 민감도 분석을 통합하여 모델 수준의 전역적 투명성과 인스턴스 수준의 국소적 투명성을 모두 제공함으로써 복잡한 모델의 "블랙박스" 한계를 해결했습니다.
• 엣지 준비 완료 검증: 제안된 모델이 무거운 앙상블이나 딥러닝 대안 모델과 달리, 자원이 제한된 엣지 디바이스에 적합한 추론 속도를 유지하면서도 최첨단(state-of-the-art) 성능을 달est함을 입증했습니다.

결과
제안된 프레임워크는 테스트 세트와 5-겹 교차 검증(5-fold cross-validation)을 통해 평가되었으며, 다음과 같은 성능 지표를 나타냈습니다:

• 정확도 (Accuracy): 테스트 세트에서 99.91%, 교차 검증 평균 정확도 98.93%.
• F1-Score: 99.51%.
• 코헨 카파 (Cohen's Kappa): 0.9960.
• 안정성: 모델은 0.0003의 매우 낮은 교차 검증 표준 편차를 보여 탁월한 안정성을 입증했으며, 일관성 측면에서 Random Forest, KNN, MLP, CatBoost를 능가했습니다.
• 효율성: 최적화된 DT는 앙상블 모델에 비해 최소한의 학습 및 추론 시간을 기록하여 실시간 애플리케이션에 더 우수함을 보였습니다.

특성 중요도 통찰
SHAP와 모리스 민감도 분석 모두 모든 클래스에 걸쳐 SrcMac(소스 MAC 주소)을 가장 중요한 예측 인자로 식별했습니다. 그 외에 SIntPkt(소스 인터-패킷 시간)와 DIntPkt(목적지 인터-패킷 시간)가 매우 영향력 있는 특성으로 나타났습니다. 반면, DstLoad, Rate, Load, jitter와 같은 특성들은 예측에 미치는 영향이 미미한 것으로 나타났습니다.

의의 및 주장
본 논문은 이 프레임워크가 탐지 품질, 모델 해석 가능성, 그리고 계산 효율성 사이의 상충 관계(trade-off)를 성공적으로 해결했다고 주장합니다. 거의 완벽한 정확도(99.91%)를 달성하면서도 계산적으로 가볍게 유지함으로써, 높은 오버헤드와 낮은 확장성 문제를 겪는 딥러닝 및 블록체인 기반 방식의 유효한 대안으로 자리매김했습니다. XAI의 통합은 의사 결정 과정을 투명하게 만들어 신뢰를 구축하고 AI 투명성 규정 준수를 가능하게 합니다. 저자들은 이러한 높은 정확도, 설명 가능성, 낮은 자원 소비의 결합이 자원이 제한된 IoT 환경에서 실시간 이상 탐지를 위한 신뢰할 수 있는 도구가 된다고 결론짓습니다. 향후 연구로는 적응형 학습 프로세스와 더 넓은 실제 데이터셋을 통한 검증이 제안되었습니다.