기술 요약: 통계적 학습 및 유전 알고리즘을 통한 합성 네트워크 패킷 생성

문제 정의

사물인터넷(IoT) 환경을 위한 견고한 침입 탐지 시스템(IDS)을 개발하려면 정상 및 악성 활동 모두에 대해 현실적인 트래픽 분포를 포착하는 대규모 레이블 데이터셋이 필요하다. 그러나 기존의 공개 데이터셋은 고정된 활동 분포와 극단적인 클래스 불균형 문제를 겪고 있다(예: ACI IoT 2023 데이터셋은 정상 트래픽과 ARP 스푸핑 공격 사이에 175,805:1의 불균형을 보임). 또한, GAN 및 VAE와 같은 딥 생성 모델은 모드 붕괴(mode collapse)를 경험하기 쉽고, 합성된 패킷이 물리적으로 유효한 피처 범위를 유지하도록 보장하는 메커니즘이 부족하다. 적대적 섭동(adversarial perturbation) 기술 역시 합법적인 네트워크 트래픽의 구조적 제한 사항을 준수하지 못하는 경우가 많다. 핵심 과제는 단순히 암시적인 분포 학습에만 의존하는 것이 아니라, 강력한 유효성 제약 조건(hard validity constraints)—명시적인 경계 강제 및 이상 탐지 모델 게이팅—을 합성 과정에 직접 통합하는 생성 파이프라인을 구축하는 것이다.

방법론

본 논문은 ACI IoT 2023 데이터셋(1,231,411개 패킷, 75개 피처, 12개 공격 카테고리)을 대상으로 제약 조건을 강제하는 두 가지 접근 방식을 제안하고 비교한다. 두 방법 모두 핵심적인 아키텍처 특징을 공유하는데, 이는 독립적으로 훈련된 One-Class SVM(OCSVM)과 Isolation Forest(IF) 모델에 의해 동시에 수락되어야 패킷이 허용되는 **이중 이상 탐지 게이트(dual anomaly-detection gate)**이다.

1. 통계적 학습 방법

이 방식은 생성을 잠재 공간(latent space) 내에서의 샘플링 문제로 취급한다:

• 하이브리드 샘플링: 합성 패킷은 두 가지 소스의 혼합을 통해 생성된다: (i) 피처 간 상관관계를 보존하기 위한 PCA 기반 잠재 공간 샘플링, (ii) 변동성을 도입하기 위해 클래스 중심점 주변에서 수행되는 직접 가우시안 샘플링.
• 적응형 정규화: 희소 클래스에 대한 과적합을 방지하기 위해 OCSVM 정규화 파라미터($\nu$)와 IF 오염도(contamination)를 클래스 크기($n$)에 따라 $\nu_c = \min(0.1, 1/(n+1))$로 동적으로 조정한다.
• 제약 조건 강제: 생성된 후보들은 관찰된 피처 경계($[l_c, u_c]$)에 대해 요소별 클램핑(element-wise clamping)을 거치며, 이진 수락/거절 게이트를 통과해야 한다. 패킷은 OCSVM과 IF 모두에서 정상으로 분류될 때만 수락된다. 거절된 패킷은 폐기되고 재생성된다.

2. 유전 알고리즘 (GA) 방법

이 방식은 패킷 생성을 다목적 최적화 문제로 취급한다:

• 적합도 함수 (Fitness Function): 후보 패킷의 적합도는 이상 탐지 모델 수락 여부(80% 가중치)와 분포적 충실도(20% 가중치, 클래스 중심점과의 거리로 측정) 사이의 균형을 맞춘다.
• 집단 초기화: 초기 집단은 탐색(exploration)과 이용(exploitation)의 균형을 맞추기 위해 세 가지 소스로부터 구성된다: (변형된) 실제 훈련 샘플, 가우시안 샘플, 그리고 피처 경계 전반에 걸친 균등 샘플.
• 진화 과정: 알고리즘은 토너먼트 선택, 다양한 교차 연산자(uniform, single-point, blend), 그리고 변이 전략을 사용한다. 또한 지역 최적점(local optima)을 벗어나기 위한 정체 재시작(stagnation restart) 메커니즘을 포함한다.
• 제약 조건 강제: 통계적 방법과 마찬가지로, 모든 자손은 피처 경계로 클리핑되며, 적합도 함수는 이중 OCSVM/IF 수락 기준을 통과하지 못한 패킷에 대해 강력한 페널티를 부여한다.

3. 독립 검증 프레임워크

객관적인 품질 평가를 보장하기 위해, 저자들은 생성과 검증 사이의 엄격한 분리를 적용한다. 검증 모델(OCSVM 및 IF)은 생성 모델과 공유되는 파라미터 없이 ACI IoT 2023 원본 데이터만을 사용하여 훈련된다. 합성 데이터 세트는 독립 검증기 전체에 대한 이상률($A_f$)이 임계값 $\tau = 0.30$ 미만일 경우 "PASS" 상태를 획득한다.

주요 기여

1. 체계적 비교: 제약 조건을 강제하는 합성 IoT 패킷 생성을 위해 통계적 학습과 유전 알고리즘을 직접 비교하였으며, 네 가지 명시적인 수락 기준에 따라 평가하였다.
2. 이중 게이트 아키텍처: 합성 파이프라인에 직접 내장되어 생성된 패킷이 출력되기 전에 강력한 유효성 제약 조건을 충족하도록 보장하는 이중 이상 탐지 게이팅 메커니즘(OCSVM + IF)을 도입하였다.
3. 극단적 불균형 처리: 매우 희소한 공격 카테고리(예: 샘플 수 $n=5$인 ARP 스푸핑)를 검증된 200배에서 1,000개의 패킷까지 성능 저하 없이 성공적으로 증폭할 수 있음을 입증하였다.
4. 계산 효율성 트레이드오프 분석: 두 방법 간의 약 190:1 처리량 비율을 밝혀내어, 서로 다른 배포 환경에 따른 근거 기반의 선택 기준을 제공하는 정량적 분석을 수행하였다.

실험 결과

전체 ACI IoT 2023 데이터셋에 대해 평가한 결과, 두 방법 모두 독립 검증 프레임워크($\tau = 0.30$) 하에서 12개 공격 카테고리 모두에 대해 PASS 상태를 달립했다.

• 통계적 학습 성능:
  • 이상률: 4단계 검증 티어에서 평균 이상률 **1.20%**를 달성하였다(Benign 클래스의 경우 높은 클래스 내 분산으로 인해 글로벌 IF 기준 13.20%, 클래스 특정 티어에서는 0.00%).
  • 처리량: 초당 약 1,091개 패킷.
  • 특징: 낮은 클래스별 분산을 가진 거의 균일한 이상률을 보여, 일관성은 높으나 클래스 내 변동성은 제한적임을 나타낸다.
• 유전 알고리즘 성능:
  • 이상률: 두 개의 클래스 특정 티어에서 평균 이상률 **0.62%**를 달성하였다.
  • 처리량: 초당 약 5.7개 패킷.
  • 특징: 유기적인 클래스별 분산(0.00%–2.50%)을 보이며, 이는 유효한 피처 공간을 더 넓게 탐색함을 의미한다.
• 극단적 불균형 사례 (ARP 스푸핑, $n=5$):
  • 두 방법 모두 1,000개의 검증된 패킷을 성공적으로 생성하였다.
  • 통계적 방법: 0.00% 이상률.
  • GA 방법: 2.50% 이상률 (OCSVM), 0.00% (IF).
  • 고차원 공간에서의 퇴행적 이웃 구조로 인해 표준 오버샘플링(SMOTE)은 이 영역에서 실패하는 것으로 기록되었다.

의의 및 주장

본 논문은 강력한 유효성 제약을 생성 파이프라인에 직접 내장함으로써, 독립 검증기에 의해 일관되게 "해당 클래스에 대한 정상"으로 수락되는 합성 IoT 패킷을 성공적으로 생성할 수 있다고 주장한다. 이는 기존 딥 생성 모델의 한계를 해결한다.

저자들은 방법론의 선택이 배포 맥락에 따라 달라져야 한다고 상정한다:

• 통계적 학습은 효율성과 일관성이 우선시되는 신속한 데이터셋 증강(예: 야간 IDS 훈련을 위한 훈련 세트 확장)에 적합하다.
• 유전 알고리즘은 다양성이 우선시되는 시나리오, 즉 적대적 강건성 테스트, 레드 팀 트래픽 생성, 또는 유효한 경계 내에서 다양한 트래픽 표현을 통한 IDS 스트레스 테스트에 적합하다.

본 연구는 두 방법 모두 희소 클래스에 대한 "생성 격차(generation gap)"를 극복할 수 있지만, 계산 비용과 생성되는 합성 다양성의 성격 면에서 근본적으로 다르다는 점을 강조한다. 저자들은 순차적 흐름 모델링(sequential flow modeling) 및 프로토콜별 시맨틱 검증의 부재를 한계점으로 언급하며, 이를 향후 연구 분야로 제시하며 결론을 맺는다.