Unsupervised Cross-Protocol Anomaly Analysis in Mobile Core Networks via Multi-Embedding Models Consensus

기술 요약: 모바일 코어 네트워크에서의 비지도 기반 교차 프로토콜 이상 탐지

문제 정의
모바일 코어 네트워크는 SS7, Diameter, GTP와 같은 다수의 시그널링 프로토콜을 병렬로 운용합니다. 신원 불일치, 허위 로밍 표시, 오라우팅(misrouting)과 같은 많은 보안 관련 이슈들은 동일한 가입자 및 시간대에 대해 이 프로토ка들을 결합하여 분석할 때만 비로소 가시화됩니다. 그러나 이러한 교차 프로토콜 이상 징후를 탐지하는 것은 다음과 같은 이유로 매우 어렵습니다:

1. 데이터 희소성: 실제 공격이나 교차 프로토콜 설정 오류에 대한 레이블이 지정된 사례는 운영 환경에서 매우 드물기 때문에, 지도 학습(supervised learning) 방식의 배포가 어렵습니다.
2. 기존 접근 방식의 한계: 규칙 기반 모니터링은 전문가가 제작한 시그나처에 의존하며, 이는 조정된 형태나 새로운 다단계 이슈를 놓치는 경우가 많습니다. 또한, 기존의 비지도 및 표현 학습(representation-learning) 방식은 대개 단일 프로토콜에 국한되어 있어, 제어 평면(control plane)과 사용자 평면(user plane) 사이의 인과적 의존성을 간과합니다.

방법론
저자들은 레이블 없이 불일치를 탐지하기 위해 시그널링 데이터를 융합하고 다중 임베딩 모델 컨센서스(multi-embedding model consensus)를 활용하는 비지도 프레임워크를 제안합니다. 이 방법론은 네 가지 주요 단계로 구성됩니다:

1. 가입자별, 분 단위 융합 (Per-Subscriber, Per-Minute Fusion):
   시스템은 각 가입자에 대해 디코딩된 SS7, Diameter, GTP 메시지를 1분 단위로 집계합니다. 이 메시지들은 세 가지 프로토콜의 원시 JSON 필드를 포함하는 하나의 "융합 레코드(fused record)"로 그룹화됩니다. 분석을 위해 최소 두 개 이상의 프로토콜 패밀리가 포함된 윈도우만 유지됩니다.

2. 합성 이상 생성 (평가 그라운드 트루스):
   수동 레이블 없이 시스템을 평가하기 위해, 저자들은 "교차 프로토콜적으로 타당한(cross-protocol-plausible)" 합성 이상치를 생성합니다. 이는 한 쌍의 융합 레코드 간에 특정 필드 그룹을 교체(swap)함으로써 이루어집니다. 이러한 교체는 개별 프로토콜 메시지의 구문적 유효성은 유지하면서, 결합된 관점에서는 모순을 일으키도록 설계되었습니다. 13개의 변이(mutation) 패밀리가 정의되었으며, 다음의 핵심 필드들을 다룹니다:

   • SS7: 호출/피호출 측 글로벌 타이틀(CGGT/CDGT), 포인트 코드(OPC/DPC), 및 애플리케이션 컨텍스트.
   • Diameter: User-Name, Session-Id, Origin-Host, Visited-PLMN-Id, 및 APN Service-Selection.
   • GTP: TEIDs, APN, 사용자 위치 정보(User Location Information), 및 PDN IP 주소.

3. 텍스트 직렬화 및 임베딩 (Text Serialization and Embedding):
   각 융합 레코드는 정규화된 단일 행 JSON 문자열로 직렬화됩니다. 이 문자열들은 여섯 가지 서로 다른 사전 학습된 임베딩 모델(bge-m3, jina-embeddings-v2, nomic-embed-text, snowflake-arctic-embed 변형 모델 포함)을 통과합니다. 모델들은 절단(truncation) 없이 자신의 컨텍스트 윈도우에 적합한 레코드에 대해 벡터 표현을 생성합니다.

4. 비지도 탐지 및 컨센서스 스코어링 (Unsupervised Detection and Consensus Scoring):
   각 임베딩 모델에 대해, 배경 트래픽(밀도 지형을 형성하기 위해 소량의 5% 합성 이상치 주입)을 대상으로 비지도 탐지기인 Isolation Forest를 학습시킵니다(단, 피팅을 위한 레이블은 사용하지 않음). 탐지기는 각 레코드에 대해 이진 결정(이상 또는 정상)을 할당합니다.
   **컨센서스 스코어($S$)**는 각 레코드에 대해 계산되며, 6개의 모델 중 해당 레코드를 이상치로 분류한 모델의 수를 나타냅니다. 이 점수는 검사를 위한 후보를 우선순위화하는 랭킹 메커니즘 역할을 합니다.

주요 기여

1. 융합 파이프라인: 교차 프로토콜 일관성 체크에 필요한 원시 필드를 보존하면서 가입자 및 분 단위로 SS7, Diameter, GTP 레코드를 집계하는 방법.
2. 합성 이상 생성기: 수동 레이블링 없이 평가를 위해 프로토콜적으로 타당한 불일치를 생성하는 변이 기반 접근 방식.
3. 비지도 앙상블: 여러 임베딩 모델과 모델별 탐지기를 결려 이상치를 식별하는 컨센서스 기반 랭킹 시스템.
4. 평가 프레임워크: 컨센서스 수준을 합성 이상치의 정밀도(precision)와 연결하고, 임베딩 공간 내 레코드의 분리도를 분석하는 방법.

결과
평가는 219,294개의 융합 레코드(8,122개의 원본 배경 레코드 및 211,172개의 합성 이상치)를 대상으로 수행되었습니다.

• 컨센서스 분포: 가장 낮은 임계값($S \ge 1$)에서 44.15%의 레코드가 적어도 하나의 모델에 의해 이상치로 분류되었습니다. 컨센서스 요구 사항이 높아짐에 따라 이상치로 분류된 레코드의 비율은 급격히 감소했습니다. 완전 합의($S \ge 6$) 단계에서는 0.97%의 레코드만이 이상치로 분류되었습니다.
• 정밀도 및 분리도:
  • 임계값 $k = 1$에서 $4$ 사이에서, 이상치로 분류된 레코드는 원본보다 합성 이상치일 확률이 수백 배 더 높았습니다 (오즈비(Odds Ratio) 범위: 236 ~ 572).
  • 임계값 $k \ge 5$에서, 단 하나의 원본(배경) 레코드도 이상치로 분류되지 않았습니다. 이 수준에서 분류된 모든 레코드는 합성 이상치였으며, 이는 테스트된 구성에서 합성 이상치와 배경 트래픽 사이의 완벽한 분리를 나타냅니다.
  • 통계적 검정(Fisher's exact test 및 Chi-square) 결과 매우 작은 p-값($< 10^{-35}$)을 얻었으며, 이는 높은 컨센서스와 합성 이상치 사이의 강력한 연관성을 확인해 줍니다.
• 임베딩 공간 분석: 합성 레코드와 그 대응하는 원본 레코드 간의 코사인 거리 측정 결과, 컨센서스 수준이 높아질수록 거리가 증가함을 보여주었습니다. 이는 모델 간 합의가 높은 레코드일수록 임베딩 공간에서 정상 트래픽으로부터 더 명확하게 분리됨을 시사합니다.

의의 및 주장
본 논문은 다중 임베딩 모델 컨센서스가 추가 검사를 위한 훨씬 작은 규모의 후보 세트를 우선순위화하는 데 효과적인 메커니즘임을 주장합니다. 운영자는 컨센서스 임계값을 높임으로써, 실제 교차 프로토콜 모순을 나타낼 가능성이 높은 후보를 유지하면서도 수동 검토가 필요한 레코드의 양을 크게 줄일 수 있습니다.

저자들은 본 연구의 결과가 합성 이상 설계 및 선택된 모델 앙상블에 특화되어 있음을 강조합니다. 즉, 본 시스템이 모든 실제 공격을 탐지한다고 주장하지는 않으며, 실제 사건은 단일 필드 교체로는 포착할 수 없는 다수의 조정된 변화나 더 긴 타임스케일을 포함할 수 있음을 명시합니다. 그러나 결과는 단일 프로토콜 뷰에서는 보이지 않는 구조적 불일치를 식별하는 데 있어 비지도 기반의 결합 표현 학습(joint representation learning)이 유용하다는 점을 뒷받