INTACT: Intent-Aware Representation Learning for Cryptographic Traffic Violation Detection

1. 문제 정의 (Problem Definition)

기존의 암호화 트래픽 이상 탐지 (Anomaly Detection) 시스템은 주로 통계적 이상치 (Statistical Outlier) 를 기반으로 작동합니다. 즉, 학습된 데이터 분포에서 벗어난 드문 패턴을 '위반'으로 간주합니다. 그러나 실제 보안 환경에서는 위반이 단순히 '드문 현상'이 아니라, 명시적인 보안 정책 (Explicit Security Policies) 에 대한 위반으로 정의됩니다.

• 핵심 모순: 통계적 이상 탐지는 데이터의 희소성 (Rarity) 에 의존하지만, 실제 보안 위반은 키 재사용 금지, 암호화 알고리즘 다운그레이드 방지, 키 수명 제한 등 구체적인 정책 제약 조건에 의해 정의됩니다.
• 한계: 기존 딥러닝 모델은 정적인 결정 경계 (Static Decision Boundary) 를 학습하여 행동 특징만으로 이상을 판단하므로, 정책이 변경될 때마다 모델을 재학습해야 하거나 새로운 정책 맥락을 이해하지 못해 해석 가능성과 적응성이 떨어집니다.

2. 제안 방법론: INTACT (Methodology)

저자들은 INTACT (Intent-Aware Cryptographic Traffic) 라는 새로운 프레임워크를 제안하여, 위반 탐지를 조건부 제약 학습 (Conditional Constraint Learning) 문제로 재정의했습니다.

2.1 핵심 개념

기존 모델이 $P(y=1|x)$ (행동 $x$ 에 따른 이상 확률) 를 학습한다면, INTACT 는 $P(y=1|x, z)$ 를 학습합니다.

• $x$: 관측된 트래픽 행동 특징 (Flow-level 또는 Trace-level features)
• $z$: 선언된 보안 의도 (Security Intent, 예: 키 수명 임계값, 재사용 금지 여부, 다운그레이드 금지 등)
• 효과: 동일한 행동 패턴이라도 선언된 정책 ($z$) 에 따라 위반 여부가 달라질 수 있음을 모델이 명시적으로 인식하도록 합니다.

2.2 아키텍처 설계

INTACT 는 두 개의 인코더와 융합 레이어로 구성된 듀얼 브랜치 신경망입니다.

1. 행동 인코더 (Behavioral Encoder): 트래픽 흐름의 통계적 특징 (지속 시간, 패킷 수, 스루풋 등) 을 입력받아 행동 임베딩 ($h_b$) 을 생성합니다.
2. 의도 인코더 (Intent Encoder): 정책 파라미터 (예: 허용된 키 수명, 금지된 알고리즘 등) 를 구조화된 입력으로 받아 의미적 임베딩 ($h_z$) 을 생성합니다.
3. 융합 및 예측 (Fusion & Decision): 두 임베딩을 결합하여 정책 매개변수화된 결정 다양체 (Policy-parameterized Decision Manifold) 를 생성하고, 위반 확률을 출력합니다.

이 구조를 통해 단일 모델이 다양한 정책 설정에 적응할 수 있으며, 정책 변경 시 모델 재학습 없이 입력 의도 ($z$) 만 변경하면 됩니다.

3. 주요 기여 (Key Contributions)

1. 개념적 격차 해소: 통계적 이상 탐지와 제약 기반 보안 모니터링 간의 개념적 불일치를 지적하고, 이를 '조건부 위험 최소화' 프레임워크로 해결했습니다.
2. 정책 조건부 표현 학습 프레임워크: 위반 탐지를 행동 특징의 정적 분류가 아닌, 행동과 의도의 결합된 조건부 확률 추론으로 전환했습니다.
3. 이중 데이터셋 평가 전략:
   • 실제 데이터: 283 만 건의 엔터프라이즈 네트워크 흐름 (Flow) 데이터.
   • 합성 데이터: 21 만 개의 암호화 트레이스 (Trace) 로 구성된 대규모 합성 데이터셋 (키 재사용, 다운그레이드, 수명 초과 등 3 가지 위반 유형 및 복합 위반 포함).
4. 성능 및 해석 가능성 입증: 명시적인 의도 조건부 학습이 분포 이동 (Distribution Shift) 하에서도 탐지 성능과 강건성을 향상시킨다는 것을 실험적으로 증명했습니다.

4. 실험 결과 (Results)

두 가지 데이터셋을 통해 다양한 비지도/지도 학습 베이스라인 (Autoencoder, Deep SVDD, Isolation Forest, Supervised NN) 과 비교 평가되었습니다.

4.1 실제 네트워크 흐름 데이터셋 (Real-World Dataset)

• 목표: 흐름 수명 (Flow Duration) 임계값 초과 위반 탐지.
• 결과: INTACT 는 AUROC 1.0000 (거의 완벽한 판별) 을 달성하여 강력한 지도 학습 베이스라인과 동등하거나 더 나은 성능을 보였습니다.
• 분포 이동 (Distribution Shift): 흐름 지속 시간을 2 배, 3 배로 스케일링한 테스트에서도 높은 AUROC (0.96 이상) 를 유지하며 강건성을 입증했습니다.

4.2 합성 멀티-의도 데이터셋 (Synthetic Multi-Intent Dataset)

• 목표: 키 재사용 (Reuse), 알고리즘 다운그레이드 (Downgrade), 수명 초과 (Lifetime) 위반 탐지.
• 결과:
  • 다운그레이드: INTACT 는 AUROC 1.0000 으로 완벽한 탐지.
  • 수명 초과: AUROC 0.9797 로 높은 성능.
  • 키 재사용 (Reuse): 기존 비지도 방법 (Isolation Forest, Autoencoder 등) 은 관계적 (Relational) 특징을 포착하지 못해 성능이 낮았으나 (AUROC 0.50.6), INTACT 는 의도 조건부 학습을 통해 AUROC 0.7820까지 향상시켰습니다. 이는 단순 통계적 이상치가 아닌, 정책 맥락에 따른 위반을 학습했기 때문입니다.

5. 의의 및 결론 (Significance & Conclusion)

• 패러다임 전환: 암호화 트래픽 모니터링을 "통계적 희소성 탐지"에서 "명시적 정책 제약 조건 학습" 으로 전환했습니다.
• 해석 가능성 (Interpretability): 모델의 결정 경계가 명시적인 정책 파라미터에 의해 조정되므로, 왜 특정 트래픽이 위반으로 분류되었는지에 대한 해석이 용이합니다.
• 적응성 (Adaptability): 정책이 변경될 때 (예: 키 수명 임계값 변경) 모델을 처음부터 재학습할 필요 없이, 입력된 의도 ($z$) 만 업데이트하면 새로운 정책에 맞춰 즉시 적응 가능합니다.
• 확장성: 단일 모델로 다양한 위반 유형 (단일 및 복합) 을 처리할 수 있어, 정책 기반 네트워크 환경에서의 확장 가능한 보안 모니터링의 기초를 마련했습니다.

요약하자면, INTACT 는 암호화 트래픽 분석에서 정책 (Policy) 을 학습 과정의 1 순위 입력 변수로 격상시킴으로써, 기존 통계적 방법의 한계를 극복하고 더 정밀하고 해석 가능하며 적응적인 이상 탐지 시스템을 제시했습니다.