UNAD+: An Explainable Hybrid Framework for Unknown Network Attack Detection

UNAD+ 의 기술적 요약: 알려지지 않은 네트워크 공격 탐지를 위한 설명 가능한 하이브리드 프레임워크

문제 제기
이전에는 볼 수 없었던 (제로데이) 네트워크 공격을 신뢰성 있게 탐지하는 것은 침입 탐지 시스템 (IDS) 에 있어 여전히 중요한 과제입니다. 지도 학습 방법은 알려진 공격 클래스에 대해서는 잘 작동하지만, 학습 데이터에 존재하지 않는 새로운 위협에는 일반화되지 못합니다. 반면, 정상 트래픽의 특성을 학습하여 편차를 식별하는 비지도 이상 탐지 방법은 제로데이 탐지에 더 적합하지만, 종종 높은 오탐지율 (FPR) 을 겪습니다. 이는 보안 분석가를 과부하시키는 과도한 경보를 생성하므로 실제 배포를 제한합니다. 또한, 기존 하이브리드 시스템은 종종 투명성이 부족합니다. 복잡한 앙상블 모델의 내부 추론은 frequently 불투명하여 분석가의 신뢰, 근본 원인 분석, 규제 산업에서의 준수를 방해합니다.

방법론
본 논문은 원본 알려지지 않은 네트워크 공격 탐지기 (UNAD) 를 확장한 개선된 하이브리드 프레임워크인 **UNAD+**를 제안합니다. UNAD+ 는 세 가지 핵심 구성 요소를 모듈식 파이프라인으로 통합합니다:

1. 가중 다수결 (WMV) 을 사용한 정상 트래픽 전용 비지도 앙상블:

   • 첫 번째 단계는 부트스트랩된 정상 트래픽 하위 집합으로만 훈련된 100 개의 기본 학습기 (50 개의 국소 이상치 계수 (Local Outlier Factor) 및 50 개의 고립 숲 (Isolation Forest) 모델) 로 구성된 이종 앙상블을 활용합니다.
   • 단순 다수결을 사용했던 원본 UNAD 와 달리, UNAD+ 는 **가중 다수결 (Weighted Majority Voting)**을 사용합니다. 검증 과정에서 각 기본 학습기는 그 F1 점수에 비례하는 가중치를 할당받습니다. 추론 시 예측은 이러한 점수로 가중되어 최종 앙상블 출력을 결정합니다. 이 접근법은 약한 탐지기의 영향을 줄이고, 기존 시스템이 정상 예측으로 편향되게 만들었던 동점 해리 시나리오를 제거합니다.

2. 지도식 정제 단계:

   • 비지도 단계의 높은 오탐지율을 해결하기 위해 두 번째 단계의 지도식 분류기가 도입됩니다.
   • 앙상블의 초기 탐지 결과 (정확히 식별된 공격과 정상 흐름 모두) 는 **가상 레이블 (pseudo-labels)**로 변환됩니다. 이러한 것들은 원래 정상 데이터와 결합되어 확장된 학습 세트를 형성합니다.
   • 강건성과 해석 가능성으로 선택된 랜덤 포레스트 (Random Forest) 분류기가 이 가상 레이블 데이터로 훈련됩니다. 이 단계는 운영 탐지 설정에 더 가까운 트래픽 패턴에서 더 정밀한 결정 경계를 학습하여 첫 번째 단계의 잔류 오류를 효과적으로 수정합니다.
   • 오류 전파를 완화하기 위해 단계 간에 도메인 전문가가 가상 레이블의 하위 집합을 검증할 수 있도록 하는 "human-in-the-loop" 체크포인트가 제안됩니다.

3. 사후 설명 가능성 계층:

   • 투명성을 강화하기 위해 프레임워크는 로컬 및 글로벌 설명 메커니즘을 모두 포함합니다.
   • 로컬 설명 가능성: LIME(Local Interpretable Model-Agnostic Explanations) 이 랜덤 포레스트 분류기에 적용되어 인스턴스 수준의 설명을 생성하며, 특정 예측에 기여한 트래픽 특성 (예: 패킷 길이, 흐름 바이트) 을 강조합니다.
   • 글로벌 설명 가능성: 랜덤 포레스트의 동작을 근사화하도록 훈련된 의사결정나무 (Decision Tree) 대리 모델이 사용됩니다. 이는 지배적인 규칙과 특성 상호작용을 포함한 글로벌 결정 논리의 단순화되고 해석 가능한 뷰를 제공합니다.

주요 기여

• 하이브리드 아키텍처: 본 논문은 정상 트래픽 전용 비지도 탐지, 가상 레이블을 사용한 지도식 정제, 그리고 설명 가능성을 단일 프레임워크 내에서 일관되게 통합하는 것을 입증합니다.
• 가중 투표 메커니즘: 성능에 기반하여 기본 학습기에 가중치를 부여하는 WMV 의 도입은 앙상블 의사결정을 개선하여 동점 관련 모호성과 정상 클래스 편향을 줄입니다.
• 오탐지 감소: 지도식 정제 단계는 비지도 이상 탐지에 내재된 오탐지율을 극적으로 감소시키는 핵심 메커니즘임이 입증되었습니다.
• 통합된 설명 가능성: 프레임워크는 설명 가능성을 추가 기능으로 취급하는 것을 넘어, 분석가 신뢰와 감사를 지원하기 위해 구조적 구성 요소로 내장합니다.

실험 결과
이 프레임워크는 CICIDS2017과 NSL-KDD라는 두 가지 벤치마크 데이터셋에서 평가되었습니다.

• 성능 지표:
  • CICIDS2017에서 전체 UNAD+ 프레임워크는 **F1 점수 98.31%**를 달성하여 원본 UNAD(75.19%) 와 독립적인 지도식 분류기 (90.59%) 보다 크게 개선되었습니다. 오탐지율 (FPR) 은 가중 앙상블의 11.34% 에서 정제 후 **0.18%**로 감소했습니다.
  • NSL-KDD에서 프레임워크는 **F1 점수 98.25%**를 달성하여 원본 UNAD(93.38%) 를 상회했습니다. FPR 은 6.37% 에서 **2.77%**로 감소했습니다.
• 클래스별 분석: 정제 단계는 SSH-Patator, DoS Slowhttptest, R2L, U2R 등 어렵거나 희귀한 공격 클래스의 탐지를 크게 개선했습니다. 그러나 첫 번째 단계가 두 번째 단계가 학습할 수 있는 충분한 가상 레이블 인스턴스를 생성하지 못한 극도로 희귀한 클래스의 경우 성능 향상은 제한적이었습니다.
• 설명 가능성 평가: 로컬 설명 (LIME) 은 타당하며 의미 있는 네트워크 특성을 강조하고 반복 검사에서 안정적임이 확인되었습니다. 글로벌 대리 모델은 랜덤 포레스트 분류기에 대해 높은 충실도 (>99%) 를 보여주어 해석 가능한 형식으로 그 결정 논리를 성공적으로 포착했습니다.

의의 및 주장
저자들은 UNAD+ 가 예측 성능을 통한 것뿐만 아니라 비지도 IDS 의 운영적 한계를 해결함으로써 원본 UNAD 기준에 비해 상당한 개선을 제공한다고 주장합니다. 논문은 가중 앙상블 탐지와 지도식 정제의 결합이 제로데이 탐지 필요성과 낮은 오탐지율 요구 사항 사이의 균형을 효과적으로 맞춘다고 주장합니다. 또한, 설명 가능성의 통합은 실제 배포에 필수적인 것으로 제시되어, 분석가가 결정을 해석하고 시스템 동작을 감사하며 분류기 오류를 디버깅할 수 있게 합니다. 이 연구는 프레임워크가 매우 효과적이지만, 극도로 희귀한 공격 클래스에 대한 성능은 첫 번째 단계가 정보성 있는 가상 레이블을 생성하는 능력에 달려 있으며, 향후 연구는 암호화된 트래픽의 과제를 다루어야 한다고 결론지었습니다.