Clustering-Enhanced Domain Adaptation for Cross-Domain Intrusion Detection in Industrial Control Systems

1. 문제 정의 (Problem Statement)

산업 제어 시스템 (ICS) 은 동적인 환경에서 운영되며, 다음과 같은 도전 과제로 인해 교차 도메인 침입 탐지가 매우 어렵습니다.

• 데이터 부족: 레이블이 지정된 공격 샘플이 극히 제한적입니다.
• 도메인 불일치 (Domain Shift): 서로 다른 산업 환경 (예: 천연가스 파이프라인 vs 수조 제어 시스템) 이나 동일한 시스템의 다른 시점에서도 트래픽 분포, 특징 차원, 통계적 특성이 크게 달라집니다.
• 알 수 없는 공격 (Unknown Attacks): 새로운 장비 도입이나 취약점 노출로 인해 기존 모델이 학습하지 못한 새로운 공격 유형이 빈번히 발생합니다.
• 기존 방법의 한계: 기존 지도 학습 모델은 훈련 데이터와 테스트 데이터의 분포가 일치한다는 가정에 의존하므로, 실제 산업 환경에서 도메인 이동이 발생하면 성능이 급격히 저하됩니다.

2. 제안된 방법론 (Methodology)

저자는 클러스터링 강화 도메인 적응 (Clustering-Enhanced Domain Adaptation) 프레임워크를 제안했습니다. 이 프레임워크는 크게 두 가지 핵심 구성 요소로 이루어져 있습니다.

A. 특징 기반 전이 학습 모듈 (Feature-Based Transfer Learning Module)

• 목적: 소스 도메인 (레이블 있음) 과 타겟 도메인 (레이블 없음) 을 공유된 잠재 하위 공간 (Latent Subspace) 에 매핑하여 분포 차이를 줄입니다.
• 동작 원리:
  1. PCA 기반 특징 동질화 (Homogenization): 소스와 타겟 도메인의 특징 차원이 다를 수 있으므로, 주성분 분석 (PCA) 을 통해 두 도메인을 동일한 차원의 동형 공간으로 변환합니다.
  2. 스펙트럼 변환 기반 정렬: 잠재 공간에서 소스와 타겟 샘플 간의 거리를 반복적으로 줄이는 스펙트럼 변환 (Spectral-transform) 을 적용하여 도메인 불변 구조를 학습합니다.
  3. 손실 함수: 소스 도메인의 분류 정확도를 유지하면서 도메인 간 불일치 (Discrepancy) 를 최소화하는 목적 함수를 최적화합니다.

B. 클러스터링 강화 전략 (Clustering Enhancement Strategy)

• 목적: 노이즈와 이상치에 강한 구조적 대응 관계를 추정하여 전이 학습의 안정성을 높입니다.
• 동작 원리:
  1. K-Medoids 클러스터링: K-Means 대신 K-Medoids 알고리즘을 사용합니다. 이는 실제 데이터 포인트를 중심 (Medoid) 으로 사용하므로 이상치 (Outliers) 와 노이즈에 더 강인하며, 산업 트래픽의 불규칙한 공격 패턴에 적합합니다.
  2. 클러스터 수준 매칭: 소스와 타겟 도메인의 샘플을 클러스터로 그룹화한 후, 클러스터 중심 간의 유사도를 계산하여 도메인 간 구조적 대응 관계 (Correspondence) 를 추정합니다.
  3. 정확도 향상: 개별 샘플 간의 직접적인 정렬 대신 클러스터 단위의 정렬을 통해 매칭의 신뢰도를 높이고, 수동 파라미터 튜닝으로 인한 성능 저하를 줄입니다.

3. 주요 기여 (Key Contributions)

1. 문제 분석: 데이터 부족, 동적 환경, 도메인 이동이 기존 ICS 침입 탐지 모델에 미치는 복합적인 영향을 분석했습니다.
2. 새로운 프레임워크 제안: 특징 기반 전이 학습에 K-Medoids 기반 클러스터링 강화와 PCA 기반 특징 동질화를 통합한 새로운 아키텍처를 개발했습니다.
3. 실험적 검증: 천연가스 파이프라인 및 수조 제어 시스템 데이터를 기반으로 한 실험을 통해, 제안된 방법이 기존 모델 대비Unknown 공격 탐지 성능을 획기적으로 개선함을 입증했습니다.

4. 실험 결과 (Results)

연구진은 천연가스 (G) 와 수조 (W) 시스템을 기반으로 4 가지 교차 도메인 태스크 (예: DoS(G) → NMRI(W)) 를 구성하여 실험을 수행했습니다.

• 비교 대상: Random Forest (RF), SVM, Naive Bayes (NBM), KNN, ANN 등 5 가지 베이스라인 모델.
• 정확도 (Accuracy): 제안된 방법은 모든 교차 도메인 태스크에서 가장 높은 정확도를 기록했습니다. 베이스라인 대비 최대 49% 까지 정확도가 향상되었습니다.
• F-score: 정밀도 (Precision) 와 재현율 (Recall) 의 균형을 나타내는 F-score 에서도 베이스라인보다 훨씬 큰 개선을 보였습니다 (예: 0.86 vs 0.22~0.51). 이는 오탐지 (False Positive) 와 미탐지 (False Negative) 를 모두 효과적으로 줄였음을 의미합니다.
• 클러스터링 전략의 효과: 클러스터링 강화 전략을 적용하지 않은 경우와 비교했을 때, 대표적 태스크에서 최대 26% 의 정확도 추가 향상을 보였습니다. 또한, 반복 실험에서 성능 변동성이 줄어들어 모델의 **안정성 (Stability)**이 크게 개선되었습니다.
• 관찰: 정보량이 풍부한 소스 도메인 (가스 시스템) 에서 정보량이 적은 타겟 도메인 (수조 시스템) 으로 전이하는 것이 그 반대 방향보다 성능이 더 좋았습니다. 이는 소스 도메인의 정보 풍부함이 전이 학습의 성패에 중요함을 시사합니다.

5. 의의 및 결론 (Significance & Conclusion)

• 실용적 가치: 레이블이 부족한 실제 산업 환경에서 새로운 공격을 탐지할 수 있는 강력한 솔루션을 제공합니다.
• 기술적 통찰: 단순한 특징 정렬만으로는 불충분한 복잡한 산업 환경에서, 클러스터링을 통한 구조적 가이드가 도메인 적응의 신뢰성과 안정성을 높이는 핵심 요소임을 증명했습니다.
• 미래 전망: 이 연구는 데이터 부족과 도메인 이동 문제를 해결하여, 동적인 산업 환경에서 강건한 사이버 보안 시스템을 구축하는 데 기여하며, 향후 실시간 배포 및 진화하는 공격 패턴 대응 연구의 기초를 마련했습니다.

요약하자면, 이 논문은 K-Medoids 클러스터링을 활용하여 노이즈에 강인한 도메인 간 구조적 대응 관계를 먼저 확립한 후, 이를 기반으로 잠재 공간 정렬을 수행함으로써 산업 제어 시스템의 교차 도메인 침입 탐지 성능을 획기적으로 개선한 획기적인 연구입니다.