On the Challenges of Holistic Intrusion Detection in ICS

논문 개요

• 제목: On the Challenges of Holistic Intrusion Detection in ICS
• 저자: Stefan Lenz 등 (RWTH 아헨 대학, Fraunhofer FKIE)
• 발표 예정: 2026 년 4 월 21~22 일, 하이델베르크 (Spring 2026)
• 핵심 주제: 산업 제어 시스템 (ICS) 의 네트워크 트래픽과 물리적 프로세스 상태를 동시에 모니터링하는 전체적 (Holistic) 침입 탐지 시스템 (IIDS) 의 구현 과정에서 마주친 기술적 난제들과 연구 방향성 제시.

---

1. 문제 제기 (Problem Statement)

• 배경: ICS 는 인터넷에 연결되면서 정교한 공격에 노출되고 있으며, 공격자는 네트워크와 물리적 프로세스 양쪽을 동시에 표적하여 치명적인 피해를 입히려 합니다.
• 기존 접근법의 한계:
  • 기존 IIDS 는 패킷 타이밍이나 프로세스 상태 등 ICS 의 특정 측면 (단일 차원) 에만 초점을 맞추는 경우가 많습니다.
  • 이를 해결하기 위해 여러 개의 단일 차원 탐지기를 병렬로 배치할 수 있으나, 이는 각 탐지기별 학습 데이터 및 파라미터 최적화가 필요하여 운영이 복잡해집니다.
  • 또한, 개별 탐지기 간의 상호작용 (Interplay) 을 놓칠 수 있으며, 여러 경보를 어떻게 합리적으로 통합할지 명확하지 않습니다.
• 목표: 단일 모델로 ICS 의 모든 차원 (네트워크 및 물리적 상태) 을 포괄하는 전체적 (Holistic) 탐지 방법을 제시하고, 이를 구현하는 과정에서 발생하는 실질적인 도전 과제를 논의하는 것.

---

2. 연구 방법론 (Methodology)

저자들은 단일 모델로 ICS 의 전체적인 정상 행동을 모델링하려는 시도를 통해 다음과 같은 세 가지 주요 도전 과제를 분석했습니다.

가. 프로세스 상태 이산화 (Discretization)

• 접근: 프로세스 마이닝 (Process Mining) 기법을 사용하여 물리적 상태와 네트워크 트래픽을 하나의 모델로 통합했습니다.
• 난제: 프로세스 마이닝은 이산적인 레이블 (Bin) 을 필요로 하지만, ICS 데이터 (온도, 수위 등) 는 연속적입니다. 따라서 연속 데이터를 이산 레이블로 변환하는 이산화 (Discretization) 기법 선택이 핵심입니다.
• 실험: 통계적 방법 및 비지도 학습 (클러스터링 등) 기반의 다양한 이산화 기법을 비교 분석했습니다.

나. 파라미터화 (Parameterization)

• 접근: 수동 파라미터 설정 (예: 패킷 단위 사이클 길이) 이 필요한 기존 모델의 한계를 극복하기 위해, LLM(대형 언어 모델) 기반의 '블랙박스' 모델링을 실험했습니다.
• 난제: LLM 은 파라미터 설정이 불필요할 것으로 기대되었으나, 전체 프로세스를 모니터링하기 위한 연산 자원 요구량이 과도했습니다. 또한, 경보의 근거를 해석할 수 없어 (Interpretability 부족) 오탐과 정탐을 구분하기 어렵습니다.

다. 양질의 학습 데이터 확보 (Training Data)

• 접근: ICS 에 무선 통신 기술이 도입됨에 따라 발생하는 동적 환경 변화를 시뮬레이션하여 분석했습니다.
• 실험: 유선, 이상적인 무선 (Wireless+), 간섭이 있는 무선 (Wireless-) 환경에서의 패킷 도착 간격 (Inter-arrival times) 을 비교했습니다.

---

3. 주요 결과 및 발견 (Key Results & Findings)

Challenge 1: 이산화의 복잡성

• 결과: 이산화 방법 (Jenkspy, kMeans, Quantiles 등) 에 따라 탐지 성능 지표 (정확도, 정밀도, 재현율, F1 점수 등) 가 크게 달라졌습니다.
• 발견: 어떤 이산화 기법이 '최적'인지는 어떤 성능 지표를 기준으로 평가하느냐에 따라 달라집니다. 또한, 데이터 분포에 따라 결과가 민감하게 변하므로, 실제 환경에서 보편적으로 적용 가능한 '최고의 방법'을 찾기 어렵습니다.

Challenge 2: 파라미터 없는 모델의 한계

• 결과: LLM 기반 탐지기는 SWaT 데이터셋에서 전체 프로세스를 모니터링할 때 고사양 클러스터 (VRAM 96GB) 의 자원 한계를 초과했습니다.
• 발견:
  • 계산 복잡도를 줄이기 위해 하위 프로세스로 범위를 좁히면, 탐지기는 거의 일정한 경보를 발생시켜 공격을 식별하지 못했습니다 (Process 5 제외).
  • 블랙박스 특성으로 인해 경보의 논리를 이해할 수 없어, 오탐 (False Positive) 과 정탐을 구분하는 것이 불가능에 가까웠습니다.
  • 결론: 자원 소모와 해석 불가능성으로 인해 현재 시점의 파라미터 없는 블랙박스 모델은 전체적 IIDS 로 실용화하기 어렵습니다.

Challenge 3: 동적 환경과 학습 데이터

• 결과: 간섭이 있는 무선 환경 (Wireless-) 에서 패킷 도착 간격의 평균은 유선 환경과 유사하거나 더 낮았으나, 표준 편차 (변동성) 는 현저히 증가했습니다.
• 발견:
  • 기존 타이밍 기반 IIDS 는 이러한 채널의 변동성을 공격으로 오인하여 오탐을 발생시킵니다.
  • 무선 채널 상태는 노이즈 등으로 인해 언제든지 변할 수 있으며, ICS 의 행동이 항상 결정론적 (Deterministic) 이라는 가정도 깨질 수 있습니다.
  • 결론: 고정된 학습 데이터에 의존하는 모델은 동적인 현대 ICS 환경에서 신뢰할 수 없으며, 환경 변화에 적응 가능한 메커니즘이 필요합니다.

---

4. 주요 기여 (Key Contributions)

1. 전체적 IIDS 구현의 실질적 장벽 규명: 단일 모델로 ICS 의 네트워크와 물리적 상태를 통합하려는 시도에서 직면하는 '이산화', '파라미터화', '학습 데이터'의 3 가지 핵심 난제를 체계적으로 제시했습니다.
2. 성능 지표와 이산화의 상관관계 증명: 이산화 방법이 탐지 성능 지표에 따라 최적의 선택이 달라짐을 실험을 통해 입증했습니다.
3. LLM 기반 접근법의 실용성 경고: 자원 소모와 해석 불가능성으로 인해 LLM 기반의 파라미터 없는 접근법이 현재 IIDS 에 적용되기 어렵다는 점을 명확히 했습니다.
4. 동적 환경 대응의 필요성 강조: 무선 통신 등 변동성이 큰 환경에서 기존 결정론적 모델이 실패할 수 있음을 보여주며, 적응형 (Adaptive) 탐지 메커니즘의 중요성을 역설했습니다.

---

5. 의의 및 결론 (Significance & Conclusion)

이 논문은 ICS 보안을 위한 '전체적 탐지 (Holistic Detection)'가 이론적으로는 강력하지만, 실제 구현에는 데이터 전처리 (이산화), 모델 복잡도/해석성, 그리고 동적 환경 적응이라는 깊은 기술적 함정이 있음을 보여줍니다.

• 연구 방향성: 단순히 탐지 정확도를 높이는 것을 넘어, 동적인 환경 (Wireless, 노이즈 등) 에 적응할 수 있는 유연한 탐지 메커니즘과 해석 가능한 (Interpretable) 모델 개발이 향후 연구의 핵심 과제임을 강조합니다.
• 기대 효과: 이 연구는 ICS 보안 연구자들이 이상적인 모델 구축에 앞서 현실적인 제약 조건을 고려하고, 더 실용적인 전체적 탐지 시스템을 설계하는 데 중요한 통찰을 제공합니다.