CLIF: Cross-layer LEO-ISL Fingerprinting for Physical and Network Attack Detection in Dense LEO Constellations

기술 요약: CLIF – 밀집된 LEO 성좌 내 물리 및 네트워크 공격 탐지를 위한 교차 계층 LEO-ISL 지문 인식

문제 정의
저궤도(LEO) 메가 성좌(예: Starlink, Kuiper)의 급격한 배포는 자율적인 메시 네트워크를 형성하기 위해 광학 위성 간 링크(ISL)에 의존하고 있습니다. 이러한 성좌가 고밀도, 다중 운영자 피어링(peering)을 향해 진화함에 따라, ISL의 무결성은 상업적 가용성과 국가 안보 모두에 매우 중요해졌습니다. 그러나 기존의 보안 접근 방식은 세 가지 주요 격차를 보입니다:

1. 교차 계층 프레임워크의 부재: 현재의 방법들은 파편화되어 있습니다. 물리 계층 인증(PLA)은 가짜 위성을 탐지하지만 네트워크 계층의 조작에는 무력하며, 암호화 검증은 권한이 없는 개체는 거부하지만 유효한 자격 증명을 가진 내부 침입자를 탐지하는 데는 실패합니다. 구조적 탄력성 접근 방식은 물리 계층 측정값을 간과합니다.
2. 데이터 부족: 실제 ISL 동작을 성좌 규모에서 포착하는 공개적으로 사용 가능한 데이터셋이 존재하지 않습니다. 이전의 평가들은 단순화된 토폴로지(최대 60개의 위성)나 단일 공격 유형에 의존하며 정답(ground truth)이 결여되어 있었습니다.
3. 다중 운영자 사각지대: 기존 연구 중에는 상호 성좌 간 트래픽 하이재킹과 같은 다중 운영자 피어링에 특화된 위협을 다루는 작업이 없습니다.

방법론
저자들은 위성당 단위의 비지도 학습 기반 이상 탐지를 위해 설계된 교차 계층의 경량 행동 지문 인식 프레임워크인 CLIF를 제안합니다.

• 특징 공간 구축: 이 프레임워크는 각 활성 ISL에 대해 12차원 특징 벡터로 물리 계층 측정값과 네트워크 계층 데이터를 융합합니다:
  • 물리 계층 (3개 특징): 거리 불일치(range mismatch), 속도 불일치(velocity mismatch), 방향 불일치(direction mismatch). 이는 직접적인 단말 측정값(거리, 도플러, 가시선)을 신뢰할 수 있는 정지 궤도(GEO) 에페메리스(ephemeris) 방송 예측값과 비교하여 도출됩니다.
  • 네트워크 계층 (9개 특징): 처리량(throughput), 링크 활용률, 송신/수신 큐 깊이, 큐잉 지연, 종단 간 지연 시간, 패킷 손실률, 이웃 수, 트래픽 비대칭성.
• 탐지 모델: 오염(poisoning)을 방지하기 위해 정상 데이터로만 학습된 세 가지 비지도 학습 기반 위성별 탐지기가 평가됩니다:
  1. 교차 계층 마할라노비스 (CLM): 사전 계산된 공분산 행렬을 사용하여 관측값을 정상 특징 중심으로부터의 마할라노비스 거리로 계산합니다.
  2. 고립 포레스트 (Isolation Forest, IF): 무작위 트리에서의 경로 길이를 기준으로 이상치를 격리하는 앙상블 방법입니다.
  3. 피드포워드 오토인코더 (Feedforward Autoencoder, AE): 정상 특징 벡터를 재구성하도록 학습된 신경망으로, 높은 재구성 오차는 이상치를 나타냅니다.
• 시뮬레이션 및 데이터셋: 저자들은 SGP4 궤도 전파와 M/M/1/K 큐잉 모델을 사용한 물리 기반 시뮬레이션을 구축했습니다. 이들은 세 가지 시나리오(Starlink 1,584개 위성, Kuiper 1,156개 위성, 그리고 합동 다중 운영자 시나리오 2,740개 위성)에 대해 24시간 운영을 커버하는 데이터셋을 생성했습니다. 물리적 기만(Rogue Satellite), 네트워크 조작(Blackhole, DoS)부터 복합 공격(Rogue Sinkhole) 및 다중 운영자 악용(Inter-constellation Hijack)에 이르는 10가지 공격 유형을 주입했습니다.

주요 기여

1. 교차 계층 프레임워크: 위성 간 협력이 필요 없이 복합 공격을 탐지할 수 있는 최초의 비지도 학습 기반 위성당 이상 탐지 프레임워크입니다.
2. 포괄적인 데이터셋: 현실적인 토폴로지와 10가지의 뚜렷한 공격 유형을 포함하여, 다중 운영자 시나리오에서 1,500만 개 이상의 ISL 관측치를 포함하는 대규모 데이터셋을 구축하고 공개했습니다. 이는 LEO 보안 연구의 중요한 공백을 메웁니다.
3. 다중 운영자 평가: 서로 다른 성좌 구성과 운영자 경계를 가로지르는 프레임워크의 일반화 성능, 특히 상호 성좌 간 트래픽 하이재킹이라는 특정 위협에 대한 대응 능력을 입증했습니다.

결과
연구는 세 가지 성좌 시나리오 전체에서 세 가지 탐지기를 평가했습니다:

• 성능: CLM (마할라노비스) 탐지기가 가장 우수한 종합 성능을 보였으며, Starlink에서 99.5%, Kuiper에서 99.4%, **다중 운영자 성좌에서 94.8%의 재현율(recall)**을 달 기록하는 동시에 **0.7% 미만의 오탐율(FPR)**을 유지했습니다.
• 비교: CLM은 평균 재현율 측면에서 AE보다 약 5.5% 포인트 앞섰으며, 높은 정밀도에도 불구하고 매우 낮은 재현율(26.9%)을 보인 Isolation Forest(IF)를 크게 압도했습니다.
• 공격 특이성: CLM은 대부분의 공격 유형에 대해 완벽에 가까운 재현율을 달성했습니다. 가장 까다로운 공격은 자연스러운 혼잡과 겹치는 "Grayhole"과 교차 링크에서의 이웃 수 변동성이 높은 다중 운영자 시나리오의 "Sybil" 공격이었습니다.
• 효율성: CLM은 169개의 저장된 파라미터와 관측당 약 337개의 부동 소수점 연산을 필요로 하는 가장 효율적인 모델로 확인되었습니다. 이는 IF보다 두 자릿수 이상 가볍고 AE보다 40배 더 가벼워, 자원이 제한된 위성 온보드 프로세서에 적합합니다.

의의 및 주장
본 논문은 교차 계층 특징 융합이 LEO 성좌를 보호하기 위해 필수적일 뿐만 아니라 매우 비용 효율적임을 주장합니다. 결과는 다음을 입증합니다:

1. 포괄적 범위: 물리 계층과 네트워크 계층을 융합함으로써, 단일 계층 접근 방식이 놓칠 수 있는 공격(예: 트래픽을 조작하는 침입한 내부자)을 포함한 전체 공격 분류를 탐지할 수 있습니다.
2. 단순함의 충분성: 가벼운 통계적 탐지기(마할라노비스 거리)가 복잡한 트리 기반 앙상블이나 딥러닝 모델을 능가하면서도 계산 오버헤드 없이 이 작업을 수행하기에 충분합니다.
3. 확장성: 프레임워크는 성능 저하를 최소화하면서 밀집된 다중 운영자 네트워크로 효과적으로 확장되며, 이는 우주 기반 피어링 연합의 부상하는 현실을 반영합니다.

저자들은 시뮬레이션에서 도출된 결과임에도 불구하고, 이 프레임워크가 ISL 보안을 위한 필수적인 토대를 제공하며, 엄격한 온보드 에너지 예산 내에서 작동하면서도 현재의 물리 계층 전용 또는 네트워크 계층 전용 방어 체계의 사각지대를 해결하는 실용적이고 저비용인 솔루션임을 결론지었습니다.