SE-Enhanced ViT and BiLSTM-Based Intrusion Detection for Secure IIoT and IoMT Environments
이 논문은 IIoT 및 IoMT 환경의 사이버 위협을 탐지하기 위해 Squeeze-and-Excitation 어텐션 메커니즘이 적용된 비전 트랜스포머와 양방향 LSTM 을 결합한 하이브리드 모델을 제안하며, EdgeIIoT 와 CICIoMT2024 데이터셋에서 기존 방법보다 뛰어난 정확도와 낮은 지연 시간을 입증했습니다.
원저자:Afrah Gueriani, Hamza Kheddar, Ahmed Cherif Mazari, Seref Sagiroglu, Onur Ceran
이 논문은 공장과 병원에서 사용하는 수많은 스마트 기기들 (IIoT, IoMT) 을 해커로부터 지키기 위한 새로운 '경비 시스템'을 개발한 연구입니다.
기존의 보안 시스템이 해커의 새로운 수법을 놓치는 경우가 많았기 때문에, 연구팀은 인공지능 (AI) 을 이용해 더 똑똑하고 빠른 보안 시스템을 만들었습니다.
이 복잡한 내용을 일상적인 비유로 쉽게 설명해 드릴게요.
1. 문제 상황: "너무 많은 문과 변덕스러운 도둑"
공장과 병원은 수많은 스마트 기기 (IoT) 로 연결되어 있습니다. 마치 거대한 쇼핑몰처럼요.
문제: 이 쇼핑몰에 들어오는 사람 (데이터) 이 너무 많고, 도둑 (해커) 들이 새로운 변장을 하고 들어옵니다.
기존 경비원 (기존 보안 시스템): 도둑의 얼굴을 미리 알고 있는 경우만 잡을 수 있습니다. (서명 기반) 하지만 변장한 도둑이나 처음 보는 도둑은 놓치기 쉽습니다.
2. 새로운 솔루션: "초능력을 가진 경비팀"
연구팀은 두 명의 초능력 경비원을 합쳐서 팀을 만들었습니다. 이것이 바로 논문의 핵심인 SE-ViT-BiLSTM 모델입니다.
① 첫 번째 경비원: "SE-ViT (전체 상황을 한눈에 보는 눈)"
역할: 이 경비원은 Vision Transformer(ViT) 기술을 사용합니다. 마치 쇼핑몰의 전체 CCTV 화면을 한 번에 훑어보는 감시관 같습니다.
특기 (SE-Attention): 보통 CCTV 는 모든 구석구석을 똑같이 봅니다. 하지만 이 경비원은 Squeeze-and-Excitation(SE) 기술을 써서 **"지금 가장 중요한 부분 (예: 비상구 근처) 에 집중"**합니다.
비유: 쇼핑몰 전체를 보다가, "아, 저기서 이상한 사람이 움직이는군!" 하고 중요한 부분만 눈여겨보고 나머지는 잠시 무시하는 똑똑한 눈입니다.
② 두 번째 경비원: "BiLSTM (시간의 흐름을 기억하는 기억력)"
역할: 이 경비원은 BiLSTM 기술을 사용합니다. 마치 과거의 기록을 뒤돌아보며 미래를 예측하는 역사학자 같습니다.
특기: 도둑은 한 번에 나타나지 않고, 시간을 두고 움직입니다. 이 경비원은 "앞으로 오는 방향"과 "뒤로 돌아가는 방향"을 모두 기억해서, "저 사람은 5 분 전에 저기서 시작해서 지금 여기 왔네? 뭔가 수상해!"라고 시간의 흐름을 파악합니다.
③ 합작: "두 명의 협업"
이 두 경비원은 따로따로 일하지 않습니다.
SE-ViT가 "지금 이 순간의 위험한 부분"을 찾아냅니다.
BiLSTM이 "이 사람이 과거에 어떻게 움직였는지"를 분석합니다.
두 사람이 정보를 합쳐서 **"이건 진짜 도둑이다!"**라고 최종 판단을 내립니다.
3. 데이터 불균형 문제 해결: "가짜 학생들 모집하기 (SMOTE)"
실제 데이터에는 '정상적인 사람'이 99% 이고 '도둑'은 1% 밖에 없습니다.
문제: 경비원 (AI) 이 도둑을 거의 못 보다가, 도둑이 나타나면 "아, 저게 도둑이구나!"라고 배우기 어렵습니다. (도둑을 본 적이 없어서요.)
해결책: 연구팀은 SMOTE라는 기술을 썼습니다.
비유: 도둑이 너무 적으니, 기존 도둑의 특징을 분석해서 가짜 도둑 (데이터) 을 만들어내어 훈련에 참여시켰습니다. 마치 도둑을 잡는 훈련을 할 때, 실제 도둑이 부족해서 연기하는 가짜 도둑들을 많이 데려와서 훈련시킨 것과 같습니다.
그 결과, AI 는 도둑을 훨씬 잘 구별하게 되었습니다.
4. 실험 결과: "어마어마한 성공"
이 시스템을 **EdgeIIoT(공장용)**와 **CICIoMT2024(병원용)**라는 두 가지 실제 데이터로 시험해 보았습니다.
속도: 한 번 판단하는 데 걸리는 시간이 0.0003 초 정도입니다. 사람이 눈을 깜빡이는 시간보다 훨씬 빠릅니다.
정확도:
공장 데이터: 99.33% 정확도 (거의 실수 없음)
병원 데이터: 98.16% 정확도 (가짜 도둑 훈련 후 크게 향상됨)
기존 시스템과의 비교: 다른 최신 기술들보다 더 정확하고, 특히 거짓 경보 (실제 도둑 아닌데 잡는 경우) 를 거의 내지 않았습니다.
5. 결론: "왜 이 연구가 중요한가?"
이 연구는 **"복잡한 AI 기술을 조합해서, 공장과 병원에서 해커를 실시간으로 막아내는 초고속 경비 시스템을 만들었다"**는 것입니다.
핵심 메시지: 단순히 "AI 가 좋다"가 아니라, **"어떤 AI 를 어떻게 섞고, 데이터 불균형 문제를 어떻게 해결했는지"**를 보여줌으로써, 실제 현장에서 바로 쓸 수 있는 강력한 보안 솔루션을 제시했습니다.
한 줄 요약:
"공장과 병원의 스마트 기기들을 지키기 위해, **중요한 부분만 집중해서 보는 눈 (SE-ViT)**과 **시간의 흐름을 기억하는 뇌 (BiLSTM)**를 합쳐서, **가짜 도둑 훈련 (SMOTE)**까지 시킨 초고속 AI 경비 시스템을 개발했습니다."
1. 연구 배경 및 문제 제기 (Problem Statement)
배경: 산업용 사물인터넷 (IIoT) 과 의료용 사물인터넷 (IoMT) 환경에서 연결된 장치의 급격한 증가로 인해 사이버 위협 탐지의 중요성이 커지고 있습니다.
문제점:
이종 (heterogeneous) 이고 고도로 연결된 네트워크는 맬웨어, 무단 접근, 데이터 유출 등 다양한 사이버 공격에 취약합니다.
기존 보안 메커니즘은 진화하는 고급 위협이나 제로데이 공격을 탐지하는 데 한계가 있습니다.
특히, 실제 데이터셋에서 발생하는 클래스 불균형 (Class Imbalance) 문제 (공격 데이터가 정상 데이터에 비해 적음) 로 인해 기존 모델의 탐지 정확도가 저하되는 문제가 있습니다.
목표: IIoT 및 IoMT 환경에서 실시간으로 정교한 사이버 공격을 탐지하고 분류할 수 있는 강력하고 효율적인 침입 탐지 시스템 (IDS) 을 개발하는 것입니다.
2. 제안된 방법론 (Methodology)
이 연구는 SE-ViT-BiLSTM이라는 하이브리드 딥러닝 아키텍처를 제안합니다. 이는 공간적 특징 추출과 시간적 의존성 모델링을 동시에 수행하도록 설계되었습니다.
A. 데이터 전처리
데이터셋: Edge-IIoTset(2022) 과 CIC-IoMT2024(2024) 두 가지 실제 벤치마크 데이터셋 사용.
전처리 단계:
레이블 인코딩 및 범주형 특징 인코딩 수행.
불필요한 열 제거 및 특징 선택.
클래스 불균형 해결: Edge-IIoT 데이터셋에는 SMOTE(Synthetic Minority Over-sampling Technique) 를, CIC-IoMT2024 데이터셋에는 RandomOverSampler를 적용하여 데이터 균형을 맞췄습니다.
80% 학습, 20% 검증으로 분할.
B. 모델 아키텍처 (Hybrid SE ViT-BiLSTM)
모델은 두 가지 주요 경로 (Branch) 를 통해 특징을 추출한 후 융합하는 구조를 가집니다.
Branch 1: SE-ViT 경로 (공간적 특징 및 재조정)
Vision Transformer (ViT) 변형: 기존 ViT 의 멀티헤드 셀프 어텐션 메커니즘 대신 Squeeze-and-Excitation (SE) 어텐션 메커니즘을 도입했습니다.
SE 블록의 역할: 전역 평균 풀링을 통해 채널 정보를 집계한 후, 두 개의 Dense 레이어 (ReLU 및 Sigmoid 활성화) 를 통해 채널별 중요도 가중치를 생성하고 특징을 재조정 (Recalibration) 합니다.
잔차 연결 (Residual Connection) 과 레이어 정규화를 통해 학습 안정성을 높입니다.
Branch 2: BiLSTM 경로 (시간적 의존성)
네트워크 트래픽의 시퀀스 패턴과 시간적 의존성을 포착하기 위해 **Bidirectional LSTM (BiLSTM)**을 사용합니다.
양방향 (전진 및 후진) 으로 시퀀스를 처리하여 시간적 역동성을 유지합니다.
특징 융합 및 출력
두 경로의 평탄화 (Flattened) 된 출력을 연결 (Concatenate) 하여 공간적 및 시간적 특징을 모두 포함하는 포괄적인 특징 벡터를 생성합니다.
최종적으로 Softmax 활성화 함수를 사용하여 6 가지 (Edge-IIoT) 또는 18 가지 (CIC-IoMT2024) 공격 클래스로 분류합니다.
3. 주요 기여 (Key Contributions)
새로운 하이브리드 아키텍처 설계: SE 블록이 통합된 ViT 와 BiLSTM 을 결합하여 공간적 특징 추출과 시간적 의존성 모델링을 동시에 최적화했습니다.
실제 데이터셋 평가: Edge-IIoT2024 와 CIC-IoMT2024 라는 두 가지 최신 실제 벤치마크 데이터셋을 사용하여 모델을 검증했습니다.
불균형 데이터 처리 전략: SMOTE 와 RandomOverSampler 를 적용하여 데이터 불균형 문제를 해결하고, 균형 잡힌 데이터와 균형 잡히지 않은 데이터 모두에서 성능을 비교 평가했습니다.
다중 클래스 분류 최적화: 다양한 IoT 환경에서 발생하는 복잡한 공격 유형 (DDoS, MITM, Malware 등) 을 정확하게 탐지하고 분류하는 다중 클래스 분류 작업을 수행했습니다.
4. 실험 결과 (Results)
모델은 Google Colab(T4 GPU) 환경에서 50 에포크 동안 Adam 옵티마이저로 학습되었습니다.
A. 성능 지표 (데이터 균형 조정 전후 비교)
Edge-IIoT 데이터셋:
조정 전: 정확도 99.11%, FPR 0.0013%, 지연 시간 0.00032 초/인스턴스.
조정 후: 정확도 99.33%, FPR 0.0013%, 지연 시간 0.00035 초/인스턴스.
CIC-IoMT2024 데이터셋:
조정 전: 정확도 96.10%, FPR 0.0036%, 지연 시간 0.00053 초/인스턴스.
조정 후: 정확도 98.16%, FPR 0.0036%, 지연 시간 0.00014 초/인스턴스 (지연 시간 크게 감소).
B. 주요 발견 사항
데이터 균형 조정의 효과: 클래스 불균형이 해결된 후, 특히 CIC-IoMT2024 데이터셋에서 정확도가 크게 향상되었고 (96.10% → 98.16%), 손실 (Loss) 이 감소하며 학습이 안정화되었습니다.
혼동 행렬 (Confusion Matrix): 균형 조정 전에는 MQTT 등 특정 클래스에서 오분류가 발생했으나, 균형 조정 후에는 거의 완벽한 분류 성능을 보였습니다.
ROC 곡선 및 AUC: 균형 조정 후 모든 클래스에서 AUC 값이 1.00 에 수렴하여 탐지 성능이 극대화되었습니다.
Ablation Study: ViT 와 BiLSTM 을 병렬 (Parallel) 로 구성한 모델 (Model #3) 이 순차 (Sequential) 구성이나 BiLSTM 크기만 증가시킨 모델보다 우수한 성능을 보였습니다. 이는 병렬 특징 추출 및 융합의 효과성을 입증합니다.
비교 연구: 기존 최첨단 (SOTA) 방법론들과 비교했을 때, 제안된 모델은 Edge-IIoT 에서 가장 높은 정확도를 기록했으며, CIC-IoMT2024 에서는 경쟁력 있는 성능을 보였습니다. 또한, FPR, 손실, 추론 시간 등 종합적인 지표를 제공하여 단순 정확도 중심의 기존 연구보다 우월함을 입증했습니다.
5. 의의 및 결론 (Significance & Conclusion)
실시간 보안 대응: 매우 낮은 지연 시간 (0.00014~0.00035 초/인스턴스) 을 유지하면서 높은 정확도를 달성하여, IIoT 및 IoMT 환경의 실시간 보안 요구사항을 충족합니다.
데이터 불균형 해결: SMOTE 와 RandomOverSampler 를 활용한 전처리 과정이 불균형 데이터 환경에서의 모델 일반화 능력을 크게 향상시킴을 증명했습니다.
미래 작업: 향후 연구에서는 추가 데이터셋을 통한 일반화 능력 향상, 엣지 컴퓨팅 배포를 위한 모델 경량화 (압축), 그리고 XAI(설명 가능한 AI) 도구를 활용한 의사결정 지원 기능 강화 등을 계획하고 있습니다.
이 논문은 SE-Attention 기반의 ViT 와 BiLSTM 을 결합한 혁신적인 아키텍처를 통해 IIoT/IoMT 환경의 사이버 보안 위협을 효과적으로 탐지할 수 있는 강력한 솔루션을 제시했습니다.