Enhancing Adversarial Robustness in Network Intrusion Detection: A Layer-wise Adaptive Regularization Approach

기술 요약: LARAR 를 통한 네트워크 침입 탐지의 적대적 견고성 강화

문제 제기
딥러닝 기반 네트워크 침입 탐지 시스템 (NIDS) 은 입력 데이터에 대한 미묘한 교란으로 인한 오분류를 초래하는 적대적 공격에 점점 더 취약해지고 있습니다. 최첨단 적대적 훈련 방법은 견고성을 향상시켰지만, 중요한 한계를 안고 있습니다: 신경망을 "블랙박스"로 취급하여 모든 레이어에 균일한 정규화를 적용하며, 특정 은닉 레이어를 통해 적대적 교란이 어떻게 전파되거나 증폭되는지 이해하지 못합니다. 이러한 레이어별 통찰력의 부재는 표적 방어 전략을 방해하여 자원 배분의 비효율성과 네트워크의 어느 부분이 공격에 가장 취약한지에 대한 해석 가능성의 부재를 초래합니다. 또한, 기존 방법들은 종종 추론 과정 초기에 적대적 샘플을 탐지하지 못합니다.

방법론: LARAR 프레임워크
본 논문은 기존 적대적 훈련을 세 가지 핵심 혁신으로 확장하도록 설계된 LARAR(적응형 정규화를 사용한 레이어별 적대적 견고성) 프레임워크를 제안합니다:

1. 레이어 취약점 점수 (LVS) 지표:
   저자들은 각 은닉 레이어가 적대적 공격에 얼마나 민감한지를 측정하는 정량화된 지표를 도입합니다. LVS 는 주어진 레이어 $l$에 대한 깨끗한 데이터와 적대적 데이터의 활성화 값 간의 정규화된 차이로 계산됩니다:
   $$LVS(l) = \frac{1}{B} \sum_{i=1}^{B} \frac{\|h^{(l)}(x_{adv}^i) - h^{(l)}(x_i)\|_2}{\|h^{(l)}(x_i)\|_2 + \epsilon_{small}}$$
   이 지표는 어떤 레이어가 교란을 증폭시키는지 식별하여 적대적 잡음의 내부 흐름에 대한 해석 가능성을 제공합니다.

2. 적응형 레이어별 정규화:
   균일한 패널티를 적용하는 전통적인 접근법과 달리, LARAR 은 학습 가능한 레이어별 정규화 항을 포함하는 복합 손실 함수를 사용합니다. 총 손실 ($L_{total}$) 은 교차 엔트로피 손실 ($L_{CE}$), 보조 손실 ($L_{aux}$), 기울기 정렬 손실 ($L_{GA}$), 특징 평활화 손실 ($L_{FS}$), 그리고 적응형 LVS 항을 결합합니다:
   $$L_{total} = L_{CE} + \lambda_{aux}L_{aux} + \lambda_{GA}L_{GA} + \lambda_{FS}L_{FS} + \beta \sum_{l=1}^{L} w^{(l)} \cdot LVS^{(l)}$$
   가중치 $w^{(l)}$은 경사 하강법을 통해 업데이트되는 학습 가능한 매개변수입니다. 이를 통해 모델은 경험적으로 취약성이 높은 레이어 (높은 LVS) 에는 더 강력한 정규화를 자동으로 할당하고, 견고한 레이어에 대해서는 이를 줄일 수 있습니다.

3. 다중 수준 감독 및 조기 탐지:
   이 프레임워크는 최종 출력 전에 특징 표현을 강화하기 위해 중간 은닉 레이어에 보조 분류기(단일 선형 레이어) 를 통합하여 다중 수준 감독을 제공합니다. 또한, 시스템은 깨끗한 검증 데이터의 LVS 값 평균과 표준 편차에 기반한 통계적 탐지 임계값 ($\tau^{(l)}$) 을 설정합니다. 입력의 LVS 가 어떤 레이어에서든 임계값을 초과하면 해당 샘플은 적대적이라고 플래그가 지정되어, 최종 분류 레이어 이전에 조기 종료 및 탐지가 가능해집니다.

실험 설정
본 프레임워크는 82,332 개의 샘플과 42 개의 특징을 포함하는 네트워크 침입 탐지 벤치마크인 UNSW-NB15데이터셋에서 평가되었습니다. 기준 모델은 ReLU 활성화 함수와 배치 정규화를 갖춘 2 층 MLP(128 및 64 차원) 로 구성되었습니다. 저자들은 LARAR 을 표준 Vanilla NN 과 레이어별 분석이 없는 최첨단 적대적 훈련 방법인 Base ADVNN 과 비교했습니다. 평가에는 깨끗한 정확도와 Fast Gradient Sign Method(FGSM), Projected Gradient Descent(PGD), 그리고 전이 공격에 대한 견고성이 포함되었습니다.

주요 결과

• 견고성 향상: LARAR 은 **95.01%**의 깨끗한 정확도를 달성했습니다. 적대적 조건 하에서 Base ADVNN 대비 상당한 개선을 보였습니다:
  • FGSM: 31.45% 정확도 (Base ADVNN 의 27.00% 대비), 16.4% 향상.
  • PGD: 33.18% 정확도 (Base ADVNN 의 28.70% 대비), 15.6% 향상.
  • 전이 공격: 42.51% 정확도 (Base ADVNN 의 38.29% 대비), 11.02% 향상.
• 공격 성공률 (ASR): LARAR 은 모든 공격 유형에 걸쳐 Base ADVNN 대비 공격 성공률을 약 4.2% 에서 4.4% 감소시켰습니다.
• 레이어 분석: LVS 지표는 첫 번째 은닉 레이어가 두 번째 레이어보다 일관되게 더 취약함을 드러냈습니다. 적응형 가중치는 더 취약한 레이어에 더 높은 정규화 압력을 할당하도록 성공적으로 수렴하여, 방어 자원을 우선순위화하는 메커니즘의 유효성을 입증했습니다.
• 효율성: LARAR 은 LVS 계산 및 보조 손실로 인해 Base ADVNN 대비 훈련 시간에 18% 의 계산 오버헤드를 도입했지만, 정상 작동 중에는 동일한 추론 시간 (0.8 ms) 을 유지했습니다. 조기 탐지가 활성화된 경우, 확신 있게 분류된 샘플의 추론 시간을 25% 단축할 수 있었습니다.

의의 및 주장
본 논문은 LARAR 이 해석 가능한 레이어별 취약점 점수를 제공함으로써 현재 적대적 방어들의 "블랙박스" 한계를 해결한다고 주장합니다. 이러한 세분성은 다음을 가능하게 합니다:

1. 표적 방어: 균일한 정규화를 적용하는 대신 가장 취약한 레이어에 계산 자원을 구체적으로 할당합니다.
2. 조기 탐지: 중간 레이어에서 적대적 샘플을 식별하여 추론 중 지연 시간과 계산 부하를 잠재적으로 줄입니다.
3. 설계 통찰력: 교란이 어떻게 전파되는지 이해하기 위한 실행 가능한 데이터를 보안 실무자에게 제공하여, 초기 단계의 특징 추출기에 특정 강화가 필요함을 시사합니다.

저자들은 LARAR 이 modest 한 훈련 오버헤드를 수반하지만, 견고성의 상당한 향상과 방어 메커니즘의 향상된 해석 가능성으로 인해 그 교환이 정당화된다고 결론지었습니다. 이 연구는 NIDS 에서 더 원칙적이고 투명하며 효율적인 적대적 방어를 향한 LARAR 의 위치를 설정합니다.