System-aware contextual digital twin for ICS anomaly diagnosis

다음은 "ICS 이상 진단을 위한 시스템 인식 문맥적 디지털 트윈 (SCDT)" 논문에 대한 상세한 기술 요약입니다.

1. 문제 제기

산업 제어 시스템 (ICS) 은 전력망, 상하수도 처리 등 인프라에 필수적이지만, 사이버 공격에 점점 더 취약해지고 있습니다. 기존 이상 탐지 방법은 두 가지 주요 한계에 직면해 있습니다.

• 지도 학습 방법: 광범위한 레이블이 지정된 공격 데이터가 필요하지만, 진화하는 공격 전략으로 인해 이러한 데이터는 희소하고 불균형하며 빠르게 구식화됩니다.
• 비지도/모델 기반 방법: 레이블 의존성을 피하지만, 종종 전역 통계적 편차에 의존합니다. 이는 센서 판독값이 하나의 작동기 구성에서는 '정상'이지만 다른 구성에서는 '비정상'인 ICS 의 문맥 의존적 성격을 고려하지 못합니다. 결과적으로 이러한 방법은 높은 오경보율을 초래하고, 운영자가 근본 원인을 신속하게 진단하는 데 필요한 해석 가능성을 결여합니다.

핵심 과제는 레이블이 지정된 공격 데이터에 의존하지 않으면서 통계적 탐지와 행동 가능한 문맥 인식 진단 사이의 간극을 해소하는 것입니다.

2. 방법론: SCDT 프레임워크

저자들은 경량 온라인 탐지와 대규모 언어 모델 (LLM) 기반 추론을 결합한 2 단계 비지도 프레임워크인 **SCDT(System-aware Contextual Digital Twin)**를 제안합니다.

A. 핵심 개념: 센서 - 작동기 조합 (S-AC)

SCDT 는 ICS 동작이 폐루프 제어에 의해 지배된다는 점을 인식합니다. 센서의 궤적은 특정 작동기 구성에 대해서만 정상입니다. 시스템은 시간 창 시작 시 관찰된 결합 작동기 상태를 '문맥'으로 정의합니다.

B. 1 단계: 비지도 탐지 (디지털 트윈 핵심)

이 단계는 공격 레이블 없이 정상 작동의 '행동 봉투 (envelopes)'를 학습합니다.

1. 특징 추출:
   • 핵심 특징 (8 차원): 효율적인 클러스터링에 사용되는 통계적 지표 (평균, 진폭, 표준편차, RMSE, 1 차/2 차 미분, 음수 점프, 스펙트럼 에너지).
   • 확장 설명자 (13 차원): 상세한 규칙 구성 및 설명에 사용되는 최소/최대 값 및 구간별 기울기 (초기/중기/후기 추세) 포함.
2. 다단계 규칙 클러스터링:
   • 레벨 그룹화: 서로 다른 체제를 혼합하는 것을 방지하기 위해 운영 레벨 (예: 탱크 높이) 에 따라 데이터를 분할합니다.
   • UMAP 및 HDBSCAN: 차원 축소 (UMAP) 를 followed 로 하여 밀도 기반 클러스터링 (HDBSCAN) 을 사용하여 각 레벨 그룹 내에서 서로 다른 운영 모드를 식별합니다.
   • 규칙 구성: 각 클러스터 (모드) 에 대해 시스템은 허용 가능한 범위를 정의하는 **분위수 봉투 (quantile envelope)**와 편차를 측정하는 **강건한 대각선 거리 모델 (중앙값 및 IQR 사용)**을 구축합니다.
3. 추론 및 선별:
   • 검색: 현재 시간 창 작동기 상태를 학습된 규칙과 매칭합니다. 정확한 매칭이 없는 경우, 개별 작동기 상태를 기반으로 규칙을 집계하는 작동기 - 센서 (S-A) 인덱스로 백업합니다.
   • 결정: 시간 창이 분위수 봉투 내에 있거나 완화된 거리 임계값 내에 있으면 정상으로 플래그가 지정됩니다. 모호한 사례 (보이지 않는 문맥) 는 강제 분류 대신 LLM 중재를 위해 명시적으로 표시됩니다.

C. 2 단계: LLM 기반 진단 (문맥 계층)

이 단계는 수치적 탐지 증거를 인간이 읽을 수 있는 근거 있는 가설로 변환합니다.

1. 주 LLM (규칙 생성):
   • 각 클러스터의 통계적 특징을 분석하여 의미론적 규칙 (예: "밸브 A 가 열려 있을 때, 탱크 수위는 낮은 변동성으로 안정적이어야 함") 을 생성합니다.
   • 이러한 규칙은 수치적 봉투와 함께 자연어 텍스트로 저장됩니다.
2. 보조 LLM (진단 및 중재):
   • 진단 모드: 이상이 탐지되면 LLM 은 현재 작동기 상태, 위반된 특정 규칙, 편차 지표를 수신합니다. 그런 다음 해당 행동이 왜 이상한지 설명하는 내러티브를 생성합니다 (예: "탱크 수위가 급격히 상승하여 폐쇄된 밸브 상태와 일치하지 않음").
   • 중재 모드: 결정론적 탐지기 (deterministic detector) 가 모호한 경우 (예: 보지 못한 작동기 조합), LLM 은 현재 시간 창을 집계된 S-A 기대치와 비교하여 최종 결정을 내리는 심판 역할을 합니다.

3. 주요 기여

• 시스템 인식 비지도 진단: 센서 - 작동기 문맥을 중심으로 이상 탐지를 공식화하여, 공격 레이블 없이 폐루프 제어의 불변 규칙을 학습할 수 있도록 합니다.
• LLM 기반 설명: LLM 이 통계적 편차를 단순 이상 점수가 아닌 행동 가능한 근거 있는 가설 및 검증 단계로 변환하는 새로운 파이프라인을 도입합니다.
• 강건한 모호성 처리: 결정을 강요하는 대신 낮은 신뢰도 문맥 매칭을 명시적으로 '모호한' 것으로 처리하여 안전성을 강화합니다. 보지 못한 시나리오를 처리하기 위해 계층적 검색 전략 (정확한 S-AC $\to$ 부분적 S-A) 을 사용합니다.
• 실시간 설계: 속도를 위해 경량 통계적 선별 (봉투/거리) 을 활용하고, LLM 추론은 진단 또는 중재 시에만 예약하여 배포 가능성을 보장합니다.

4. 실험 결과

이 프레임워크는 세 가지 공개 ICS 벤치마크인 SWaT(상하수도 처리), WADI(상하수도 분배), HAI(하드웨어 인 더 루프) 에서 평가되었습니다.

• 성능:
  • SWaT: 베이스라인 중 가장 높은 **재현율 (83.09%)**과 **F1 점수 (89.17%)**를 달성하여 안정적인 문맥에서 이상에 대한 높은 민감도를 입증했습니다.
  • WADI 및 HAI: 최상위 정밀도 (각각 89.68% 및 90.07%) 와 두 번째로 좋은 F1 점수를 달성했습니다.
  • 트레이드오프: SCDT 는 일부 높은 재현율 베이스라인보다 더 보수적이어서, 강력한 탐지 품질을 유지하면서 오경보를 줄입니다 (높은 정밀도).
• 해석 가능성:
  • 사례 연구 (예: SWaT 프로세스 1) 는 SCDT 가 근본 원인 (예: 탱크 넘침을 강요하는 침해된 밸브) 을 올바르게 식별하고, 센서 이상과 특정 작동기 고장을 연결하는 일관된 내러티브를 제공했음을 보여주었습니다.
  • LLM 은 원시 센서 데이터가 모호해 보일지라도 작동기 상태를 기반으로 정상 및 비정상 체제를 성공적으로 구분했습니다.

5. 의의

• 간극 해소: SCDT 는 산업 제어 로직에 맞춘 설명 가능한 AI를 제공함으로써 기존 비지도 탐지기들의 '블랙박스' 문제를 해결합니다.
• 운영 안전: 모호한 문맥을 명시적으로 처리하고 근거 있는 가설을 제공함으로써 운영자의 인지 부하를 줄이고 중대한 사고에 대한 대응 지연을 방지합니다.
• 확장성: 모듈식 설계로 LLM 진단 계층을 다른 탐지 백본에 연결할 수 있어, 레이블이 지정된 공격 데이터 없이도 복잡한 산업 환경의 해석 가능성을 개선하는 다목적 도구가 됩니다.
• 미래 대비: 이 접근 방식은 정적 통계 모델을 넘어 동적, 문맥 인식 추론으로 이동하여, 진화하는 산업 프로세스와 새로운 공격 벡터에 적응하는 데 필수적입니다.