Anomaly Detection in IEC-61850 GOOSE Networks: Evaluating Unsupervised and Temporal Learning for Real-Time Intrusion Detection

논문 요약: IEC-61850 GOOSE 네트워크를 위한 실시간 침입 탐지 평가

1. 문제 정의 (Problem)

• 배경: 현대 디지털 변전소는 IEC-61850 표준을 기반으로 하며, 특히 시간적 중요도가 높은 보호 및 제어 신호 전송을 위해 GOOSE (Generic Object-Oriented Substation Event) 프로토콜을 사용합니다.
• 제약 조건: GOOSE 프로토콜은 네트워크 및 전송 계층 (TCP/IP) 을 우회하여 데이터 링크 계층에서 직접 작동하므로 4ms 미만의 초저지연 (Sub-4ms) 을 달성합니다.
• 보안 취약점: 이 아키텍처는 암호화, 인증, 무결성 검증 메커니즘이 부재하여 재전송 (Replay), 위장 (Masquerade), 데이터 주입 (Data Injection) 공격에 매우 취약합니다.
• 기존 접근법의 한계:
  • 기존 IT 환경용 침입 탐지 시스템 (IDS) 은 변전소의 결정론적 트래픽 특성과 엄격한 지연 시간 요구사항에 적합하지 않습니다.
  • 레이블된 공격 데이터의 부재: 실제 공격 데이터가 부족하여 지도 학습 (Supervised Learning) 기반 모델의 훈련과 일반화가 어렵습니다.
  • 실시간 제약: 탐지 지연이 4ms 를 초과하면 변전소 보호 기능에 치명적인 영향을 미칩니다.

2. 방법론 (Methodology)

이 연구는 ERENO IEC-61850 데이터셋을 기반으로 비지도 학습 (Unsupervised Learning) 과 시계열 모델링 (Temporal Modeling) 의 효과를 평가하기 위해 5 가지 모델을 비교 분석했습니다.

• 평가 모델:
  1. Random Forest (지도 학습): 지도 학습의 기준선 (Baseline) 으로 사용. 클래스 불균형 해결을 위해 class_weight='balanced' 적용.
  2. Feedforward Autoencoder (비지도 학습): 정상 트래픽만으로 학습하여 재구성 오차 (Reconstruction Error) 를 기반으로 이상 탐지.
  3. RNN, LSTM, GRU Autoencoder (비지도 시계열 학습): 연속된 GOOSE 메시지 시퀀스를 입력받아 시간적 의존성을 학습. 재구성 오차를 통해 이상 탐지.
• 데이터 전처리:
  • ERENO 데이터셋의 GOOSE 및 SV (Sampled Value) 필드에서 파생된 69 개 특성 사용.
  • 시계열 특성을 반영하기 위해 stDiff, sqDiff, timestampDiff 등의 델타 (Delta) 특성을 강조.
  • 중요: 이상 탐지 임계값 (Threshold) 을 테스트 세트가 아닌 홀드아웃 (Held-out) 검증 세트에서 선택하여 데이터 누출 (Leakage) 을 방지했습니다.
• 평가 지표:
  • 정확도: F1-Score, AUC-ROC, 정밀도, 재현율.
  • 실시간성: 단일 예측당 추론 지연 시간 (Inference Latency). 4ms를 실시간 배포 가능 임계값으로 설정.

3. 주요 기여 (Key Contributions)

1. 실시간 제약 하의 모델 비교: 4ms 지연 시간 요구사항을 충족하는지 여부와 탐지 성능을 동시에 평가하여 실제 배포 가능성을 검증했습니다.
2. 시계열 모델의 우수성 입증: 정적 (Static) 인 Autoencoder 보다 시퀀스 기반 모델 (RNN, LSTM, GRU) 이 재전송 및 위장 공격과 같은 시간적 공격 시그니처를 더 효과적으로 포착함을 보였습니다.
3. 교차 환경 일반화 (Cross-Environment Generalizability) 평가: 훈련된 모델을 다른 물리적 테스트베드 (de Oliveira 데이터셋) 에서 재학습 없이 평가하여, 지도 학습 모델보다 비지도 시계열 모델이 환경 변화에 더 강건함을 확인했습니다.
4. 임계값 누출 방지: 검증 세트를 활용한 임계값 설정을 통해 과장된 성능 지표를 방지했습니다.

4. 실험 결과 (Results)

• 탐지 성능 (F1-Score):

  • Random Forest: 가장 높은 성능 (F1 = 0.9516) 을 보였으나, 이는 레이블된 데이터를 활용한 지도 학습의 이점입니다.
  • 비지도 모델 중 최고: GRU가 F1 = 0.8737 로 가장 우수했으며, LSTM (0.8686) 과 RNN (0.8637) 이 이를 뒤따랐습니다.
  • Feedforward Autoencoder: F1 = 0.5826 으로 가장 낮았으며, 단일 프레임 기반의 재구성 오차만으로는 복잡한 시간적 공격을 탐지하기 어려웠습니다.

• 지연 시간 (Latency) 및 실시간성:

  • 4ms 요구사항 충족: 모든 비지도 모델 (Autoencoder, GRU, RNN, LSTM) 은 4ms 미만의 지연 시간을 달성했습니다.
    • Autoencoder: 0.039 ms (가장 빠름)
    • GRU: 1.118 ms
    • RNN: 1.229 ms
    • LSTM: 1.920 ms
  • 실패: Random Forest 는 21.837 ms의 지연 시간을 보여 실시간 배포에 부적합했습니다.

• 교차 환경 일반화 (Cross-Environment):

  • 다른 환경 (de Oliveira 데이터셋) 으로 테스트 시 모든 모델의 성능이 급격히 저하되었습니다.
  • Random Forest: F1 점수가 0.9516 에서 0.1414 로 0.8103이나 급감 (가장 큰 저하).
  • 시계열 모델 (GRU/LSTM/RNN): F1 점수 하락폭이 약 0.61 수준으로, 지도 학습 모델보다 상대적으로 높은 일반화 능력을 보였습니다. 이는 레이블된 공격 분포에 의존하기보다 정상 트래픽의 시간적 패턴을 학습하는 것이 새로운 환경에서 더 효과적임을 시사합니다.

5. 의의 및 결론 (Significance & Conclusion)

• 실용적 선택: IEC-61850 GOOSE 네트워크의 실시간 침입 탐지에는 비지도 시계열 모델 (특히 GRU) 이 가장 적합한 솔루션입니다.
  • GRU 는 높은 탐지 정확도 (F1=0.8737) 와 4ms 이내의 낮은 지연 시간 (1.118ms) 을 동시에 만족합니다.
  • 계산 자원이 극도로 제한된 환경에서는 Autoencoder 를, 정밀도가 더 중요한 경우 RNN 을 고려할 수 있습니다.
• 일반화 능력: 지도 학습 모델은 특정 데이터셋의 통계적 패턴에 과적합 (Overfitting) 되기 쉽지만, 비지도 시계열 모델은 정상 트래픽의 시간적 구조를 학습하여 다양한 변전소 환경에서도 더 잘 작동합니다.
• 미래 작업: 향후 연구에서는 하드웨어 가속 환경 (HIL) 에서의 검증, 설명 가능성 (Explainability) 프레임워크 통합, 그리고 다양한 공격 유형에 대한 다중 클래스 분류 및 단일 표준 특성 집합을 통한 아키텍처 비교가 필요하다고 제안합니다.

결론적으로, 이 논문은 레이블된 공격 데이터가 부족한 실전 환경에서도 4ms 라는 엄격한 지연 시간 제약 내에서 효과적으로 작동할 수 있는 GRU 기반의 비지도 시계열 이상 탐지 모델을 제안하고 그 타당성을 입증했습니다.