Federated Naive Bayes with Real Mixture of Gaussians and Institutional Governance Regularization for Network Intrusion Detection

기술 요약: 실수 가우시안 혼합 모델과 기관 거버넌스 정규화를 적용한 연동 나비 베이즈

문제 제기
현재 침입 탐지를 위한 연동 학습 (FL) 접근법은 모든 참여 기관이 공유 모델에 동등하게 기여한다는 결함 있는 전제에 의존합니다. FedAvg 와 같은 크기 비례 평균화와 같은 표준 집계 규칙은 노드를 데이터 양만으로 가중치화합니다. 이 접근법은 데이터 소스의 품질을 무시하여, 미성숙한 보안 통제와 높은 취약점 노출을 가진 기관이 글로벌 모델에 불균형적으로 영향을 미치도록 합니다. 결과적으로 생성된 공유 모델은 가장 신뢰할 수 있는 기관이 아닌 가장 큰 기여자에 의해 형성될 수 있습니다. 더 나아가, 기관들은 이미 CRISC 프레임워크와 같은 표준 위험 관리 감사를 통해 보안 성숙도에 관한 정량적 데이터를 보유하고 있으나, 이러한 정보는 연동 최적화 과정에서 사용되지 않고 있습니다.

방법론
제안된 프레임워크인 EJD-UMA-FedNB-GRC는 세 가지 핵심 기술 메커니즘을 통해 이러한 문제를 해결합니다:

1. 정규화 사전 확률로서의 기관 일관성 지수 (ICC):
   저자들은 ISACA CRISC 프레임워크의 네 가지 거버넌스 지표—통제 성숙도 (CMM), 주요 통제 구현 (KCI), 주요 위험 지표 (KRI) 활성화 빈도, 그리고 평균 취약점 점수 (CVSS)—를 단일 지표인 기관 일관성 지수 (ICC) 로 공식화했습니다. 이 지수는 Nelder-Mead 연동 가중치 최적화기에서 정규화 사전 확률로 작용합니다. 목적 함수는 정규화된 평균 음의 로그 가능도 (ANLL) 와 학습된 가중치와 정규화된 ICC 벡터 간의 편차를 측정하는 패널티 항으로 구성된 복합 손실을 최소화합니다. 이는 명시적인 순서 제약 없이 최적화기가 거버넌스 성숙도가 높은 기관에 더 높은 가중치를 부여하도록 유도합니다.

2. 하이브리드 로컬 분류기:
   각 노드는 측정 유형별 특징을 분리하여 인코딩으로 인한 거리 편향을 방지하는 하이브리드 나비 베이즈 분류기를 훈련합니다. 범주형 특징 (예: 프로토콜 유형) 은 라플라스 보정을 적용한 CategoricalNB 를 사용하여 처리하고, 수치적 흐름 통계는 StandardScaler 정규화 후 GaussianNB 로 처리합니다. 분포 외 (OOD) 범주형 값에 대한 특정 수정이 구현되었는데, 이를 마지막 알려진 범주로 클리핑하는 대신 전용 슬롯에 매핑하여 확률 질량 오염을 방지합니다.

3. 실수 가우시안 혼합 (MoG) 서버:
   서버는 로컬 분포를 글로벌 매개변수 벡터로 축소하는 대신, 로컬 모델을 실수 가우시안 혼합으로 결합합니다. 서버는 가중치된 로컬 로그 가능도의 로그 - 합 - 지수 (log-sum-exp) 를 계산합니다. 중요하게도, 목적 함수를 계산하기 전에 ANLL 을 log-softmax 를 통해 정규화합니다. 이 스케일링 보정은 [0, 0.5] 범위에서 작동하는 거버넌스 사전 확률이 ANLL 값이 수백만에 달할 때 최적화기에 수치적으로 보이지 않게 되는 이전 실패를 방지하여 최적화기에 수치적으로 가시적으로 유지되도록 합니다.

실험 설정
이 제안은 서로 다른 연도, 연구 그룹, 네트워크 환경을 대표하는 세 가지 독립적인 데이터셋 (NSL-KDD, CIC-IDS2017, UNSW-NB15) 에서 검증되었습니다. 실험은 디리클레 분포 ($\alpha \in \{0.05, \dots, 1.00\}$) 를 사용하여 데이터 이질성의 일곱 가지 수준을 시뮬레이션했습니다. 제안된 ICC 정규화 접근법 (제안 A) 은 표준 FedAvg 기준 (제안 B), 엔트로피 가중 접근법 (제안 E), 그리고 중앙 집중식 오라클 (제안 C) 과 비교되었습니다.

주요 결과

• 성능 향상: ICC 정규화 제안은 세 가지 데이터셋 모두에서 크기 비례 FedAvg 기준보다 우수한 성과를 보였습니다.
  • NSL-KDD: F1-macro 가 0.9076 에서 0.9135 로 개선 (+0.0059).
  • CIC-IDS2017: F1-macro 가 0.6771 에서 0.7556 로 개선 (+0.0785), 가장 큰 향상을 보임.
  • UNSW-NB15: F1-macro 가 0.2060 에서 0.2110 로 개선 (+0.0050).
• 통계적 유의성: McNemar 검정은 94 개 구성 중 70 개 (74%) 에서 통계적 유의성 ($p < 0.05$) 을 확인했습니다.
• ICC 정렬: 중심적인 실증적 발견은 최적화기가 자발적으로 기관 거버넌스 계층을 존중하도록 학습했다는 점입니다. 모든 데이터셋과 이질성 수준에서 가장 높은 ICC 를 가진 금융 노드가 일관되게 가장 높은 가중치를 받았고, 가장 낮은 ICC 를 가진 정부 노드는 가장 낮은 가중치를 받았으며, 이를 강제하는 명시적 제약은 없었습니다.
• 중앙 집중식 대 연동: NSL-KDD 와 CIC-IDS2017 에서 연동 제안은 보완적인 로컬 분포와 클래스 불균형 처리로 인해 중앙 집중식 모델보다 우수한 성과를 보였습니다. 반면 UNSW-NB15 에서는 노드 파티션에서 샘플이 완전히 결여된 경우 희귀 클래스에 대한 매개변수를 추정하는 로컬 GaussianNB 모델의 구조적 한계로 인해 중앙 집중식 모델이 연동 접근법보다 우수했습니다.

의의 및 주장
이 논문은 기관 거버넌스 지표를 연동 가중치 최적화 과정에 직접 통합하는 것이 침입 탐지 모델을 개선하는 실현 가능한 방법이라고 주장합니다. 주요 기여는 CRISC 거버넌스 지표를 수학적 신호로 변환하여 가중치 할당을 기관 품질 쪽으로 유도할 수 있음을 입증한 것입니다.

저자들은 최적화기가 자연스럽게 성숙한 기관을 우선시하는 "ICC 정렬" 패턴이 핵심 발견이라고 강조합니다. 이는 이 메커니즘이 통계적 인공물이 아닌 실제 세계의 보안 품질 신호를 포착함을 시사합니다. 또한 이 연구는 거버넌스 사전 확률이 예측 손실 크기에 묻히지 않도록 목적 함수에 수치적 스케일링 (log-softmax 정규화) 이 필요함을 강조합니다. 저자들은 이 접근법이 테스트된 모든 구성에서 성능 저하를 초래하지는 않지만, 향후 연구는 희귀 클래스가 로컬 학습 세트에서 완전히 사라질 수 있는 심각한 Non-IID 조건 하의 연동 생성 모델의 구조적 한계를 해결해야 한다고 결론지었습니다.