A Novel Byte-Level Flow-to-Image Encoding Method for Network Intrusion Detection Systems

마치 붐비는 방에서 도둑을 찾아내도록 컴퓨터를 가르치려 한다고 상상해 보세요. 보통 보안 시스템은 들어오는 모든 사람에 대한 사실 목록을 확인합니다: "키: 6 피트, 신발 크기: 10, 가방 들고 있음." 이것이 오늘날 대부분의 네트워크 침입 탐지 시스템 (IDS) 이 작동하는 방식입니다. 그들은 네트워크 트래픽을 긴 평면 숫자 목록 (1 차원 표) 으로 봅니다.

이 논문이 지적하는 문제는 평면 목록을 보는 것이 구슬 한 줄을 하나씩만 바라보며 패턴을 찾으려는 것과 같다는 점입니다. 구슬들이 서로의 관계를 보여주는 방식으로 배열되어 있지 않기 때문에 구슬들이 서로 어떻게 연결되는지 놓칠 수 있습니다.

연구자들이 무엇을 했으며 무엇을 발견했는지에 대한 간단한 개요는 다음과 같습니다:

핵심 아이디어: 목록을 그림으로 바꾸기

연구자들은 질문했습니다: 목록을 보는 것을 멈추고 대신 그림을 보기 시작한다면 어떨까요?

그들은 지루한 네트워크 데이터 목록을 32x32 픽셀 이미지(작고 다채로운 사각형) 로 변환하는 새로운 방법을 고안했습니다. 그들은 이를 "흐름 - 이미지 인코딩 (Flow-to-Image Encoding)"이라고 부릅니다.

이것을 다음과 같이 생각해보세요:

• 구식 방법 (1 차원 목록): 단일 긴 줄의 텍스트로 쓰인 레시피를 읽는다고 상상해 보세요. 재료들이 서로 어떻게 관련되는지 파악하기 어렵습니다.
• 신식 방법 (2 차원 이미지): 그 재료들을 특정 패턴으로 주방 카운터에 배열한다고 상상해 보세요. 이제 밀가루가 달걀 바로 옆에 있고, 설탕이 버터 근처에 있음을 볼 수 있습니다. 공간적 배열이 목록에서는 드러나지 않았던 이야기를 전달합니다.

그들이 그림을 만든 방법

연구자들은 단순히 숫자들을 무작위로 그림에 밀어 넣지 않았습니다. 동일한 데이터가 항상 동일한 그림을 만들도록 매우 엄격한 규칙 기반 방법 (결정론적) 을 사용했습니다.

1. "거꾸로 된 L" 경로: 그들은 연속된 숫자들 (온도나 속도 등) 을 이미지 위의 거꾸로 된 "L"자 모양을 따라 바이트 단위로 적었습니다.

   • 비유: 오른쪽 하단 모서리에서 시작해 끝까지 위로 올라간 다음, 왼쪽으로 돌아 위쪽을 가로지르는 비밀 메시지를 쓰는 것을 상상해 보세요.
   • 트릭: 단일 숫자는 4 바이트의 공간을 차지하지만, 단일 픽셀은 3 가지 "색상"(빨강, 초록, 파랑) 만 담을 수 있기 때문에 숫자들은 한 픽셀에서 다음 픽셀로 넘쳐납니다. 이로 인해 컴퓨터는 숫자를 이해하기 위해 한 픽셀의 "색상"이 이웃 픽셀의 "색상"과 어떻게 연결되는지 보도록 강요받습니다.

2. 범주형 데이터를 위한 "중앙 행": "예/아니오" 또는 "유형" 데이터 (예: "이것이 Windows 시스템입니까 아니면 Linux 시스템입니까?") 에 대해서는 이미지 정중앙에 직선으로 배치했습니다.

   • 비유: 이는 지도 중앙에 라벨을 붙여 "범주" 섹션이 "숫자" 섹션과 분리되어 항상 어디에 있는지 알 수 있게 하는 것과 같습니다.

3. 결과: 모든 단일 네트워크 연결이 고유한 작은 32x32 이미지로 변환됩니다. 연결이 정상적이면 그림은 한 가지 방식으로 보이고, 사이버 공격이라면 그림은 다르게 보입니다.

이것이 도움이 되는 이유

연구자들은 네 가지 다른 유형의 AI 모델을 사용하여 두 가지 유명한 데이터셋 (NSL-KDD 및 UNSW-NB15) 에서 이를 테스트했습니다. 그들은 기존 "목록" 방법과 새로운 "이미지" 방법을 비교했습니다.

결과:

• 더 나은 시력: 목록을 본 AI 모델보다 이미지를 본 AI 모델들이 공격을 훨씬 더 잘 찾아냈습니다.
• "희귀한 도둑" 문제: 기존 시스템에서는 AI 가 일반적인 공격은 잘 찾아냈지만, 특정 유형의 "사용자에서 루트 (User to Root)" 공격과 같은 드물고 기이한 공격은 매우 못 찾아냈습니다. 이미지 방법은 AI 가 이러한 희귀 패턴을 훨씬 더 잘 보도록 도왔습니다.
  • 한 데이터셋 (UNSW-NB15) 에서 이진 탐지의 정확도는 최대 15.6% 상승했고, 특정 공격 유형 탐지에서는 12.8% 상승했습니다.
  • 다른 데이터셋 (NSL-KDD) 에서는 약 3% 에서 3.5% 개선되었습니다.
• 안정성: 이미지 방법은 또한 더 일관적이었습니다. AI 는 학습할 때 덜 혼란스럽거나 "떨림" 현상이 적었습니다.

단점 (한계점)

이 논문은 이것이 만병통치약이 아니라고 인정합니다:

• 빈 공간: 일부 데이터셋은 그림을 채울 숫자가 부족하여 이미지의 일부가 검은색 (비어 있음) 으로 남습니다. 이로 인해 그림이 정보로 덜 "채워진" 상태가 됩니다.
• 고정된 규칙: 그들은 데이터가 그 자리가 최선이라는 것을 확실히 알고 있어서가 아니라 추측과 규칙에 따라 특정 위치에 데이터를 배치했습니다. 때로는 관련 데이터 조각들이 그림에서 멀리 떨어지게 될 수 있습니다.
• 오프라인 전용: 그들은 실시간 보안 카메라 피드가 아닌 녹화된 데이터 (범죄의 비디오 녹화본과 같은) 로 이를 테스트했습니다.

결론

이 논문은 네트워크 데이터를 작고 구조화된 이미지로 변환함으로써 AI 모델에게 이전에는 평면 목록에 숨겨져 있던 패턴을 "보는" 새로운 방법을 제공했다고 주장합니다. 이는 보안 시스템을 더 똑똑하게 만들어, 일반적으로 틈새를 빠져나가는 교묘하고 희귀한 공격을 잡아내는 데 특히 효과적입니다. 그들은 이것이 모든 보안 문제를 해결하거나 모든 실제 시나리오에서 작동한다고 주장하지는 않았지만, 네트워크 보안을 위한 AI 를 훈련시키는 매우 유망한 새로운 방법을 보여줍니다.