Explainable Threat Attribution for IoT Networks Using Conditional SHAP and Flow Behavior Modelling

논문 요약: IoT 네트워크를 위한 조건부 SHAP 및 흐름 행동 모델링을 활용한 설명 가능한 위협 귀속

1. 연구 배경 및 문제 정의 (Problem)

• IoT 보안의 중요성: 사물인터넷 (IoT) 이 스마트 홈, 산업 센서, 의료 기기 등 핵심 인프라로 확장됨에 따라 사이버 위협에 대한 보안이 절실해졌습니다.
• 기존 시스템의 한계:
  • 대부분의 침입 탐지 시스템 (IDS) 이 '악성 vs 정상'의 이진 분류 (Binary Classification) 에만 초점을 맞추고 있어, 실제 다양한 공격 유형을 식별하고 대응하는 데 한계가 있습니다.
  • 고도의 정확도를 보이는 딥러닝 모델은 '블랙박스' 성향이 강해, 왜 특정 트래픽이 공격으로 분류되었는지에 대한 설명 (Explainability) 이 부족합니다. 이는 고위험 환경에서의 신뢰성과 책임 소재를 어렵게 만듭니다.
• 연구 목표: IoT 환경에서 다중 클래스 (Multiclass) 위협을 정확하게 분류하고, SHAP(SHapley Additive exPlanations) 를 활용하여 모델의 의사결정 과정을 투명하게 설명할 수 있는 프레임워크를 구축하는 것입니다.

2. 데이터셋 및 전처리 (Dataset & Preprocessing)

• 데이터셋: CICIoT2023 데이터셋을 사용했습니다. 이는 34 가지의 다양한 공격 유형을 포함하는 대규모 IoT 트래픽 데이터셋으로, 약 100 만 개의 네트워크 흐름 (Flow) 샘플을 분석에 활용했습니다.
• 클래스 재구성 (Semantic Grouping): 34 가지 원본 공격 라벨을 행동 특성과 운영 목적에 따라 8 가지 의미론적 그룹으로 통합하여 분류 효율성과 설명 가능성을 높였습니다.
  • 8 개 그룹: Benign Traffic(정상), DDoS, DoS, Mirai Botnet, Spoofing(스푸핑), Reconnaissance(정찰), Web Exploits & Injection(웹 악용 및 주입), Brute Force(무차별 대입).
• 데이터 전처리:
  • 불균형 해결: DDoS 공격이 70% 이상을 차지하는 심각한 클래스 불균형을 해결하기 위해 오버샘플링/언더샘플링 대신 클래스 가중치 (Class-weight) 조정을 적용했습니다.
  • 특성 선택: 다중공선성 (Multicollinearity) 이 심하거나 변동성이 낮은 특성 (예: Rate, Srate, Std, Radius 등) 을 제거하여 모델의 안정성과 설명력을 높였습니다.
  • 스케일링: IAT(Inter-Arrival Time) 등을 초 단위로 변환하여 수치적 범위를 조정했습니다.

3. 방법론 (Methodology)

• 예측 모델링:
  • Random Forest, XGBoost, LightGBM, Gradient Boosting, Extra Trees 등 5 가지 앙상블 모델을 비교 평가했습니다.
  • 최종 선택: 정밀도 (Precision), 재현율 (Recall), F1-score, 정확도 (Accuracy) 를 종합적으로 고려할 때 Gradient Boosting이 가장 균형 잡힌 성능을 보여 최종 모델로 선정되었습니다.
• 설명 가능한 AI (XAI) 적용:
  • **SHAP (SHapley Additive exPlanations)**를 도입하여 모델의 의사결정을 전역적 (Global) 및 지역적 (Local) 수준에서 해석했습니다.
  • 전역 분석: 전체 데이터셋에서 어떤 특성이 가장 중요한지 파악 (Beeswarm plot).
  • 지역 분석: 각 클래스별 및 개별 인스턴스별 의사결정 경로 시각화 (Waterfall plot).
  • 행동 기반 해석: 단순한 특성 중요도를 넘어, 네트워크 흐름의 행동적 의미 (예: 패킷 버스트, TCP 플래그 동역학) 와 연결하여 해석했습니다.

4. 주요 결과 및 발견 (Key Results & Findings)

• 모델 성능: 클래스 가중치 조정을 통해 소수 클래스 (스푸핑, 정찰 등) 의 재현율을 크게 향상시켰으며, 모든 위협 클래스에서 균일한 성능을 보였습니다.
• 주요 영향 특성 (SHAP 기반):
  1. IAT (패킷 도착 간격): 가장 중요한 특성입니다. 낮은 IAT(빠른 패킷 전송) 는 DoS/DDoS 공격을, 높은 IAT 는 정상 트래픽이나 Mirai 봇넷과 연관됩니다.
  2. 패킷 크기 (Tot size, Min, AVG): 무차별 대입 (Brute Force) 및 웹 악용 공격은 작고 일관된 패킷 크기를 보이며, Mirai 봇넷은 상대적으로 큰 패킷 크기를 가집니다.
  3. 통계적 변동성 (Variance, Magnitude): 높은 변동성은 정찰 (Reconnaissance) 및 무차별 대입 공격의 불규칙한 스캔 행위를 나타냅니다.
  4. TCP 플래그 (RST, SYN, URG): 세션 중단 (RST) 이나 비정상적인 플래그 사용은 스푸핑 및 주입 공격의 지표가 됩니다.
• 클래스별 의사결정 패턴 (Waterfall Plot 분석):
  • 정상 트래픽: 구조화된 세션, 적절한 패킷 크기, 예측 가능한 흐름으로 분류됨.
  • DDoS/DoS: 매우 짧은 흐름 지속 시간, 작은 패킷 크기, 높은 전송률로 식별됨.
  • Mirai Botnet: 큰 패킷 크기, 긴 IAT, 일정한 흐름 패턴으로 식별됨.
  • 정찰 (Reconnaissance): 높은 변동성과 불규칙한 스캔 패턴으로 식별됨.

5. 주요 기여 (Key Contributions)

1. 의미론적 다중 클래스 위협 모델링: 34 가지 공격을 8 가지 행동 기반 클래스로 그룹화하여, 단순한 이진 분류를 넘어 포렌식 분석과 자동화된 방어가 가능한 세분화된 탐지를 가능하게 함.
2. 클래스 인식형 (Class-aware) SHAP 설명 프레임워크: 전역적 특성 중요도뿐만 아니라, 각 공격 유형별 (Per-class) 로 모델이 어떻게 다른 결정을 내리는지 시각화하고 설명하는 새로운 접근법 제시.
3. 흐름 행동 기반 해석: 수치적 특성 중요도를 네트워크 공격의 실제 행동 (버스트성, 세션 종료, 페이로드 일관성 등) 과 연결하여 보안 분석가가 공격의 본질을 이해할 수 있도록 지원.

6. 의의 및 한계 (Significance & Limitations)

• 의의:
  • 고성능 머신러닝 모델과 설명 가능성 (XAI) 간의 간극을 해소하여, IoT 보안 환경에서 AI 기반 시스템에 대한 신뢰와 책임성을 확보함.
  • 보안 분석가가 "왜" 특정 트래픽이 공격으로 분류되었는지 이해하고, 포렌식 조사 및 대응 전략 수립에 직접 활용할 수 있는 통찰력을 제공함.
• 한계 및 향후 과제:
  • 과적합 위험: 학습된 임계값이 특정 공격 패턴에 맞춰져 있어, 진화하는 새로운 공격 변종 (Zero-day 등) 에 대한 일반화 능력이 제한될 수 있음.
  • 실시간성 부족: 현재는 배치 (Batch) 처리 방식이며, 전체 세션을 관찰해야 하는 특성상 실시간 스트리밍 환경에서의 선제적 탐지에는 적합하지 않음.
  • 향후 방향: 반지도 학습 (Semi-supervised learning) 도입, 온라인 학습 (Online learning) 을 통한 실시간 처리, 그리고 장치 정체성 및 토폴로지 정보를 결합한 그래프 기반 모델 연구가 필요함.

결론

이 연구는 CICIoT2023 데이터셋을 기반으로 Gradient Boosting 과 SHAP 를 결합하여 IoT 네트워크의 다중 클래스 위협 탐지 및 설명 가능한 귀속 시스템을 성공적으로 구현했습니다. 이를 통해 단순한 탐지 정확도를 넘어, 모델이 학습한 공격의 행동적 특성을 투명하게 드러내어 신뢰할 수 있는 사이버 보안 AI 시스템의 기반을 마련했습니다.