Systematic Integration of Digital Twins and Constrained LLMs for Interpretable Cyber-Physical Anomaly Detection

1. 연구 배경 및 문제 정의 (Problem)

• 배경: 산업 제어 시스템 (ICS) 을 표적으로 하는 사이버 공격은 점점 더 정교해지고 있으며, 물리적 프로세스의 정상적인 변동과 악의적인 공격을 구별하기가 매우 어렵습니다.
• 주요 문제점:
  • 기존 이상 탐지기는 저수준의 행동 신호와 고수준의 의미론적 해석을 통합하지 못해 공격의 원인을 설명 (Interpretability) 하지 못함.
  • 물리적 프로세스 변수들은 서로 강하게 결합되어 있어, 하나의 변수 변화가 여러 변수에 영향을 미치므로 악의적인 입력을 숨기기 쉬움.
  • 기존 LLM 은 할루시네이션 (환각), 물리적으로 불가능한 결론 도출, 불안정한 의사결정 경계 등의 위험을 내포함.
  • 기존 디지털 트윈 (DT) 기반 접근법은 물리 시뮬레이션에 의존하거나 의미론적 해석력이 부족함.

2. 제안된 방법론 (Methodology)

이 논문은 Secure Water Treatment (SWaT) 테스트베드를 기반으로 한 디지털 트윈 (DT) 기반의 하이브리드 탐지 아키텍처를 제안합니다. 이 시스템은 결정론적 휴리스틱과 제약된 LLM 추론을 결합하여 실시간 이상을 탐지합니다.

핵심 아키텍처 및 프로세스

1. 디지털 트윈 (DT) 및 재생 엔진:

   • SWaT 프로세스의 동기화된 가상 복제본을 유지하며, 30 초 슬라이딩 윈도우 단위로 센서 및 액추에이터 데이터를 재생합니다.
   • 단순한 원시 데이터가 아닌, 기울기 (slopes), 분산 (variances), 범위 (ranges), 액추에이터 토글 패턴 등을 추출한 행동 기술자 (Behavioral Descriptors) 를 생성합니다.

2. 휴리스틱 탐지 계층 (Heuristic Detector):

   • LLM 호출을 최소화하기 위해 결정론적 규칙을 먼저 적용합니다.
   • 4 가지 주요 공격 패턴 탐지:
     • 스푸핑 (Spoofing): 펌프/밸브 활동 중 LIT101 의 지속적 양의 기울기.
     • 밸브 강제 (Valve Forcing): MV101 의 급격한 토글과 FIT101/LIT301 의 비정상 진동.
     • 편향 드리프트 (Bias Drift): 낮은 분산 but 서서히 증가하는 추세 (기울기/표준편차 비율 활용).
     • 센서 고정 DoS (Sensor-Freezing DoS): 다중 센서의 평탄화 및 분산 억제.
   • 휴리스틱이 명확한 패턴을 감지하면 LLM 호출 없이 즉시 분류합니다.

3. 제약된 LLM 추론 계층 (Constrained LLM Reasoning):

   • 휴리스틱이 결정하지 못하는 경우 (Abstain) 에만 LLM 을 호출합니다.
   • 제약 조건:
     • Strict JSON Schema: LLM 은 특정 구조 (전술, 공격 경로, 완화 방안, 신뢰도 점수) 로만 출력을 생성해야 합니다.
     • 의미론적 타당성 필터 (Semantic Plausibility Filters): 액추에이터 상태를 기반으로 물리적으로 가능한 공격 경로인지 검증하여 할루시네이션을 차단합니다.

4. 시간적 평활화 (Temporal Smoothing):

   • 단기적인 변동 (노이즈) 을 제거하고 일관된 이상 징후를 포착하기 위해 슬라이딩 윈도우 내에서 다수결 원칙을 적용하여 최종 결정 신호를 안정화합니다.

3. 주요 기여 (Key Contributions)

• 동기화된 행동 복제본: 산업 프로세스의 실시간 동기화 및 행동 기반 특징 추출을 위한 DT 아키텍처 구현.
• 지능형 게이트 (Gating) 메커니즘: ICS 침해 지표 (IoC) 를 포착하는 휴리스틱 계층을 통해 LLM 호출을 선택적으로 제어하여 오경보 (False Positive) 를 줄임.
• 제약된 LLM 통합: 엄격한 스키마와 타당성 검증을 통해 해석 가능한 공격 분류를 제공하는 모듈 설계.
• 강건한 평가: 로컬 LLaMA 모델과 클라우드 기반 GPT 모델 모두에서 일관된 성능을 입증하며, 기존 Isolation Forest 와의 비교를 통해 우수성을 증명.

4. 실험 결과 (Results)

• 데이터셋: SWaT 데이터셋 (약 45 만 개 타임스탬프 기록, 4 가지 공격 시나리오 포함).
• 평가 시나리오: 센서 스푸핑, 밸브 강제, DoS, 편향 드리프트.
• 성능 지표:
  • 탐지 정확도: 4 가지 공격 시나리오 모두에서 공격 구간을 정밀하게 국소화 (Localization) 했습니다.
  • 탐지 시간 (TTD): 모든 공격에서 매우 짧은 TTD 를 기록했습니다 (편향 드리프트와 DoS 는 0 윈도우, 나머지는 1 윈도우 이내).
  • 오경보 (False Positives): 평가된 정상 구간 (Benign region) 에서 0 개의 오경보를 기록했습니다.
  • 모델 비교: 로컬 LLaMA-3.1-8B 와 클라우드 GPT-4.1-mini 모두 동일한 탐지 성능을 보였으며, 모델 간 차이가 최종 결정에 영향을 미치지 않았습니다.
• 비교 대상 (Isolation Forest):
  • Isolation Forest 는 DoS 공격은 탐지했으나, 스푸핑, 밸브 강제, 편향 드리프트는 탐지하지 못했습니다.
  • 정상 구간에서 273 개의 오경보를 발생시켜 (약 19.5%) 불안정함을 보였습니다.

5. 의의 및 결론 (Significance & Conclusion)

• 해석 가능성과 신뢰성: LLM 의 할루시네이션 위험을 최소화하면서도, 물리적 프로세스에 대한 심층적인 의미론적 해석을 제공하여 ICS 보안의 투명성을 높였습니다.
• 실용성: 휴리스틱이 대부분의 작업을 처리하고 LLM 은 예외적인 경우에만 개입하는 구조로, 연산 효율성과 실시간 대응 능력을 모두 확보했습니다.
• 아키텍처의 강건성: 사용하는 LLM 모델 (로컬 vs 클라우드) 에 상관없이 제약 조건과 휴리스틱 게이트가 시스템의 안정성을 보장함을 입증했습니다.
• 한계 및 향후 과제: 현재 SWaT 프로세스에 특화된 휴리스틱을 사용하므로 다른 산업 도메인이나 제로데이 공격으로의 일반화에는 추가 연구가 필요하며, 물리 기반 모델링을 DT 에 통합하여 더욱 정교한 탐지가 가능할 것으로 기대됩니다.

이 연구는 디지털 트윈의 상태 동기화 능력과 제약된 LLM 의 추론 능력을 결합하여, 기존 통계적 방법의 한계를 극복하고 해석 가능하면서도 신뢰할 수 있는 사이버 - 물리 이상 탐지 시스템을 구축할 수 있음을 입증했습니다.