Hybrid ResNet-1D-BiGRU with Multi-Head Attention for Cyberattack Detection in Industrial IoT Environments

논문 요약: 산업용 IoT 환경의 사이버 공격 탐지를 위한 하이브리드 딥러닝 모델

1. 문제 정의 (Problem Statement)

• 배경: 사물인터넷 (IoT) 과 산업용 IoT(IIoT) 의 급속한 확산은 편의성을 증대시켰으나, 제조, 의료, 에너지 등 핵심 산업의 취약성을 높여 사이버 위협에 노출시키고 있습니다.
• 주요 과제:
  • 고급화된 공격: 기존 탐지 시스템이 감지하기 어려운 복잡하고 정교한 새로운 형태의 사이버 침입이 증가하고 있습니다.
  • 불균형 데이터: 실제 사이버 보안 데이터셋에서는 정상 트래픽에 비해 공격 샘플이 매우 적어 '클래스 불균형 (Class Imbalance)' 문제가 발생합니다. 이로 인해 소수 클래스 (공격) 에 대한 탐지 정확도가 낮아집니다.
  • 오경보 (False Positives) 와 누락 (False Negatives): 높은 오경보율은 보안 팀을 과부하시키고, 낮은 탐지율은 치명적인 공격을 놓치게 만듭니다.
  • 실시간성 요구: IIoT 환경에서는 높은 처리량과 낮은 지연 시간 (Latency) 을 가진 실시간 침입 탐지 시스템 (NIDS) 이 필수적입니다.

2. 제안된 방법론 (Methodology)

저자들은 공간적 (Spatial) 과 시간적 (Temporal) 의존성을 동시에 포착하고, 특징 가중치를 동적으로 조정하기 위해 **ResNet-1D, BiGRU, Multi-Head Attention (MHA)**을 결합한 하이브리드 딥러닝 아키텍처를 제안했습니다.

• 데이터 전처리:

  • SMOTE 적용: Edge-IIoTset 데이터셋의 클래스 불균형을 해결하기 위해 SMOTE(Synthetic Minority Over-sampling Technique) 를 사용하여 소수 클래스 (공격) 에 대한 합성 데이터를 생성했습니다.
  • 데이터 변환: 범주형 데이터를 수치화 (LabelEncoder) 하고, 60 개 (Edge-IIoTset) 및 9 개 (CICIoV2024) 의 특징을 2 차원 형식으로 변환하여 모델 입력에 적합하게 만들었습니다.
  • 데이터 분할: 학습용 (80%) 과 테스트용 (20%) 으로 분할했습니다.

• 모델 아키텍처 (ResNet-1D-BiGRU-MHA):

  1. 입력층: 60 개의 특징을 가진 시계열 데이터 입력 (Shape: 60, 1).
  2. ResNet-1D 블록 (공간 특징 추출):
     • 2 개의 1 차원 합성곱 레이어 (Conv1D) 와 잔차 연결 (Residual Connection) 을 사용하여 계층적 특징을 추출합니다.
     • 기존 CNN 의 소실 기울기 (Vanishing Gradient) 문제를 해결하여 깊은 네트워크 학습을 가능하게 합니다.
  3. BiGRU 레이어 (시간적 의존성 모델링):
     • 64 개의 유닛을 가진 양방향 GRU(BiGRU) 를 적용하여 과거와 미래의 시퀀스 정보를 모두 고려하여 공격 패턴을 학습합니다.
     • Layer Normalization 을 통해 출력 안정성을 높입니다.
  4. Multi-Head Attention (MHA):
     • 시계열 데이터의 다양한 특징에 대해 동적으로 중요도 (Attention Score) 를 할당합니다.
     • 4 개의 헤드를 사용하여 다양한 관점에서 특징을 집중적으로 분석합니다.
  5. 분류 레이어:
     • Dropout(0.5) 을 통해 과적합을 방지하고, 2 개의 Dense 레이어 (ReLU 활성화) 를 거쳐 Softmax 함수를 통해 6 가지 클래스 (정상, DDoS, 정보 수집, MITM, 주입, 멀웨어) 로 분류합니다.

3. 주요 기여 (Key Contributions)

1. 하이브리드 아키텍처 개발: ResNet-1D(공간 특징), BiGRU(시간적 맥락), MHA(중요도 가중치) 를 통합하여 IIoT 트래픽의 복잡한 패턴을 효과적으로 추출합니다.
2. 불균형 데이터 해결: SMOTE 기법을 적용하여 소수 클래스 공격에 대한 탐지 성능을 획기적으로 개선했습니다.
3. 범용성 검증: Edge-IIoTset 데이터셋뿐만 아니라, 차량용 IoT(CICIoV2024) 데이터셋에서도 모델을 검증하여 높은 일반화 능력을 입증했습니다.
4. 실시간 성능 최적화: 매우 낮은 추론 지연 시간 (Inference Latency) 을 달성하여 실시간 IIoT 보안 시스템에 적용 가능한 것을 증명했습니다.

4. 실험 결과 (Results)

모델은 Edge-IIoTset 및 CICIoV2024 두 가지 데이터셋에서 평가되었습니다.

• Edge-IIoTset 데이터셋:

  • 정확도 (Accuracy): 98.71%
  • 손실 (Loss): 0.0417%
  • FPR (False Positive Rate): 0.002% (매우 낮음)
  • 추론 시간: 0.0001 초/인스턴스 (실시간 처리 가능)
  • 분류 성능: 정상 트래픽, 정보 수집, MITM, 멀웨어 공격에서 100% 정밀도 및 재현율 달성.

• CICIoV2024 데이터셋 (일반화 검증):

  • 정확도: 99.99%
  • F1-Score: 99.99%
  • FPR: 0%
  • 추론 시간: 0.00014 초/인스턴스

• 비교 분석:

  • 기존 BiGRU-LSTM, CNN-LSTM-ViT 등 최신 모델들보다 모든 지표에서 우수한 성능을 보였습니다.
  • 특히 추론 속도가 기존 모델들보다 월등히 빨라 실시간 적용 가능성이 높습니다.

• Ablation Study (성분 분석):

  • ResNet-1D 만 사용 시 정확도 47.95% (시간적 특징 부재).
  • ResNet-1D + BiGRU + MHA + SMOTE 를 모두 결합했을 때 최적의 성능 (98.71%) 을 달성했습니다.
  • SMOTE 를 제거할 경우 성능이 저하되어 불균형 데이터 처리의 중요성이 확인되었습니다.

5. 의의 및 결론 (Significance & Conclusion)

• 실시간 IIoT 보안 솔루션: 제안된 모델은 높은 정확도와 극도로 낮은 지연 시간을 동시에 만족하여, 산업 환경에서의 실시간 침입 탐지 시스템 (NIDS) 으로 즉시 적용 가능한 잠재력을 가집니다.
• 강건한 일반화 능력: 서로 다른 도메인 (일반 IIoT 및 차량용 IoT) 의 데이터셋에서 일관된 높은 성능을 보여주어, 다양한 IIoT 환경에 적용 가능한 범용 모델임을 입증했습니다.
• 향후 연구 방향: 전이 학습 (Transfer Learning) 을 통한 적응성 강화, 강화 학습을 활용한 하이퍼파라미터 최적화, 그리고 모델의 해석 가능성 (XAI) 향상을 위한 연구가 필요하다고 제언했습니다.

이 연구는 딥러닝 기반의 하이브리드 아키텍처가 복잡한 IIoT 환경의 사이버 위협을 효과적으로 탐지하고 대응할 수 있음을 보여주었으며, 특히 데이터 불균형과 실시간 처리 요구사항을 동시에 해결한 점에서 의의가 큽니다.