KAN-LSTM: Benchmarking Kolmogorov-Arnold Networks for Cyber Security Threat Detection in IoT Networks

1. 연구 배경 및 문제 정의 (Problem)

• 기존 모델의 한계: 사이버 보안 위협 탐지 (특히 IoT 네트워크) 에 널리 사용되는 기존 심층 학습 모델 (MLP, CNN, LSTM 등) 은 대규모 및 관계형 데이터셋에서 공간적 패턴을 포착하는 데 어려움을 겪거나, 데이터 불균형 (Imbalance) 문제로 인해 희귀한 공격 유형을 탐지하는 데 한계가 있습니다.
• 새로운 접근의 필요성: 기존의 고정된 활성화 함수를 사용하는 MLP 는 복잡한 함수 매핑을 학습하는 데 비효율적일 수 있으며, 사이버 보안 데이터의 구조적 특성을 효과적으로 처리할 수 있는 새로운 아키텍처가 필요합니다.
• 연구 목적: 콜모고로프 - 아르놀드 (Kolmogorov-Arnold) 정리를 기반으로 한 **KANs(Kolmogorov-Arnold Networks)**의 사이버 위협 탐지 적용 가능성을 평가하고, 기존 모델보다 우수한 성능을 보이는 새로운 하이브리드 모델 (KAN-LSTM) 을 제안하는 것입니다.

2. 제안된 방법론 (Methodology)

이 연구는 네트워크 트래픽 데이터의 공간적 (Spatial) 및 시간적 (Temporal) 특성을 동시에 포착하기 위해 KAN-LSTM이라는 하이브리드 아키텍처를 제안합니다.

• KANs (Kolmogorov-Arnold Networks) 의 핵심 원리:
  • 기존 MLP 가 노드 (Node) 에 고정된 활성화 함수를 사용하는 반면, KAN 은 그래프의 **간선 (Edge)**에 학습 가능한 일변수 함수 (스플라인 기반) 를 배치합니다.
  • 이는 콜모고로프 - 아르놀드 표현 정리에 기반하여 복잡한 다변수 함수를 단순한 일변수 함수의 합으로 분해하여 학습함으로써, 더 적은 파라미터로 높은 정확도를 달성할 수 있게 합니다.
• KAN-LSTM 아키텍처 구성:
  1. CNN 레이어 (2 개): 입력 트래픽 데이터의 국소적 (Local) 상관관계를 추출하기 위해 2 차원 텐서로 변환된 데이터에 적용됩니다.
  2. LSTM 레이어 (1 개): CNN 의 출력을 입력받아 네트워크 트래픽 시퀀스의 시간적 (Temporal) 의존성과 장기적 패턴을 인코딩합니다.
  3. KAN 레이어 (2 개): LSTM 의 출력을 받아 비선형 고차원 매핑을 모델링하고, 최종 분류를 수행합니다. KAN 의 적응형 활성화 함수를 통해 복잡한 공격 패턴을 정밀하게 분류합니다.
• 손실 함수: 이진 분류를 위해 이진 교차 엔트로피 (Binary Cross-Entropy) 손실 함수를 사용합니다.

3. 주요 기여 (Key Contributions)

1. KAN-LSTM 모델 제안: CNN(공간적 특징), LSTM(시간적 특징), KAN(적응형 비선형 매핑) 을 결합한 최초의 사이버 보안 위협 탐지 하이브리드 모델 제안.
2. 대규모 벤치마킹: 기존에 널리 사용된 UNSW-NB15, NSL-KDD, CICIDS2017 세 가지 주요 데이터셋과, IoT 봇넷 데이터를 포함한 새로운 통합 데이터셋 (Tri-IDS: BOT-IOT + NSL-KDD + CICIDS2017) 을 사용하여 광범위한 실험을 수행했습니다.
3. 새로운 데이터셋 (Tri-IDS) 개발: 기존 데이터셋들의 불균형 문제를 완화하고 다양한 트래픽 패턴을 포함하는 대규모, 편향되지 않은 통합 데이터셋을 구축하여 모델의 일반화 능력을 검증했습니다.
4. 성능 비교 분석: KAN 기반 모델 (ConvKAN, KAN) 과 전통적인 심층 학습 모델 (CNN, LSTM, MLP) 간의 정량적 및 정성적 비교를 통해 KAN 의 우수성을 입증했습니다.

4. 실험 결과 (Results)

실험은 PyTorch 환경에서 4 개의 데이터셋에 대해 수행되었으며, 주요 결과는 다음과 같습니다.

• 전반적 성능: 제안된 KAN-LSTM 모델은 모든 데이터셋에서 기존 모델 (CNN, LSTM, MLP) 및 다른 KAN 변형 모델 (ConvKAN, KAN) 보다 일관되게 높은 성능을 기록했습니다.
• 주요 지표 (F1-Score 및 정확도):
  • UNSW-NB15: KAN-LSTM 은 **95.89%**의 정확도와 **94.01%**의 F1 점수를 기록하여 가장 가까운 모델보다 약 1.5% 높은 성능을 보였습니다.
  • CICIDS2017: **99.28%**의 정확도와 **99.66%**의 F1 점수를 달성하여, 불균형 데이터에서도 뛰어난 탐지 능력을 입증했습니다.
  • NSL-KDD: **94.05%**의 정확도와 **94.35%**의 F1 점수를 기록했습니다.
  • Tri-IDS (통합 데이터셋): **93.76%**의 정확도와 **93.39%**의 F1 점수를 기록하며, 다양한 IoT 공격 패턴에 대한 강력한 일반화 능력을 보였습니다.
• 정밀도 (Precision) 및 재현율 (Recall): 특히 정밀도와 재현율의 균형이 뛰어난 것으로 나타났으며, 이는 KAN-LSTM 이 위양성 (False Positive) 을 줄이면서도 희귀한 공격을 놓치지 않고 탐지함을 의미합니다.
• 파라미터 효율성: KAN 은 기존 MLP 대비 학습 가능한 파라미터 수를 크게 줄이면서 더 높은 정확도를 달성했습니다.

5. 의의 및 결론 (Significance & Conclusion)

• 기술적 의의: 이 연구는 KAN 이 사이버 보안 위협 탐지 분야에서 기존 심층 학습 모델을 대체할 수 있는 유망한 대안임을 처음으로 실증적으로 증명했습니다. 특히 KAN 의 적응형 활성화 함수가 네트워크 트래픽의 복잡한 비선형 패턴을 학습하는 데 효과적임을 보여주었습니다.
• 실용적 가치: 제안된 KAN-LSTM 모델은 IoT 환경의 다양한 공격 유형 (DoS, DDoS, 봇넷 등) 을 높은 정확도로 탐지할 수 있어, 실제 사이버 방어 시스템에 적용 가능한 강력한 도구로 평가됩니다.
• 한계 및 향후 과제: KAN 은 아직 학습 속도가 느리고 확장성 (Scalability) 및 안정성 측면에서 개선이 필요하다는 점을 인정하며, 향후 이러한 문제점을 해결하기 위한 연구가 필요하다고 결론지었습니다.

요약하자면, 이 논문은 KAN 의 이론적 강점을 사이버 보안 도메인에 적용하여, 공간적 및 시간적 특징을 동시에 처리하는 KAN-LSTM 모델을 개발하고, 다양한 대규모 데이터셋을 통해 기존 최첨단 모델들을 압도하는 성능을 입증한 선구적인 연구입니다.