RogueRover: Autonomous Rogue Device Localization for Incident Response

기술 요약: RogueRover

문제 정의

사이버 물리 시스템(CPS)에서 로그 에이전트(Rogue Access Points, RAPs)와 같은 승인되지 않은 무선 장치는 은밀한 네트워크 접속 및 측면 이동(lateral movement)을 가능하게 하여 심각한 보안 위험을 초고합니다. 네트워크 측 메커니즘(예: 화이트리스트 비교)은 이러한 장치의 존재를 탐지할 수 있지만, 사고 대응을 위해 이들을 **물리적으로 위치 추적(localization)**하는 데에는 결정적인 병목 현상이 남아 있습니다. 기존 솔루션들은 다음과 같은 뚜렷한 한계점을 가집니다:

• 정적 WIDS/WIPS: 밀집된 사전 설치 센서 인프라가 필요하며, 이로 인해 커버리지 공백이 발생할 수 있습니다.
• 핑거프린팅(Fingerprinting): 높은 정확도를 달가하지만, 사이트별 교정(calibration)과 유지보수가 필요하며, 이는 신속한 사고 대응 상황에서는 불가능합니다.
• CSI 기반 기술: 서브 미터(sub-meter) 단위의 정확도를 제공하지만, 특수 하드웨어와 수정된 펌웨어가 필요합니다.
• 다중 로봇 스웜(Multi-robot Swarms): 커버리지는 개선되지만 높은 협업 복잡성을 유발합니다.

본 논문은 사전 RF 지식, 사전 설치된 센서, 사이트 교정 또는 특수 하드웨어 없이 동적인 환경에서 미지의 로그 장치를 국지화하는 과제를 다룹니다.

방법론: RogueRover 시스템

RogueRover는 단일 범용 4족 보행 로봇을 사용하여 미지의 로그 무선 장치를 자율적으로 탐지하고 위치를 추적하도록 설계된 엔드 투 엔드(end-to-end) 시스템입니다. 이 시스템은 제로 구성(zero-configuration) 제약 조건 하에서 작동하며, 이는 사전 RF 핑거프린팅이나 환경 교정이 필요하지 않음을 의미합니다.

1. 시스템 아키텍처

• 플랫폼: ROS2 Foxy, LiDAR 기반 네비게이션, 그리고 이중 802.11n 인터페이스(하나는 수동 스캐닝용, 다른 하나는 로봇 통신용)를 갖춘 Unitree Go2 4족 보행 로봇.
• 운영 프로토콜 (Stop-and-Scan): 로봇은 점유 격자 지도(occupancy grid map)에서 유도된 웨이포인트(waypoint)의 정해진 경로를 따릅니다. 각 웨이포인트에서 로봇은 10초간 머무르며(dwell period) 수동 802.11 비콘 스캔을 수행합니다.
• 데이터 수집: 시스템은 탐지된 각 BSSID에 대해 공간적으로 라벨링된 수신 신호 강도 지표(RSSI) 측정값 $(x_i, y_i, r_i)$를 기록합니다. 여기서 $(x_i, y_i)$는 로봇의 위치이고 $r_i$는 dBm 단위의 RSSI입니다.

2. 탐지 파이프라인

학습 없이 로그 장치를 식별하기 위해, 시스템은 세 가지 신호에 기반한 경량 휴리스틱 점수 산정 방식을 사용합니다:

1. 로컬 관리 MAC 주소: IEEE 로컬 관리 비트가 설정된 경우(일반적인 소비자용 핫스팟) 점수가 증가합니다.
2. SSID 패턴: 모바일 핫스패터 패턴(예: "Galaxy_*")에 대해서는 양(+)의 점수를, 알려진 화이트리스트 인프라 이름에 대해서는 음(-)의 점수를 부여합니다.
3. 벤더 조회(Vendor Lookup): 관리되는 인프라와 관련된 제조사에 대해서는 음(-)의 점수를 부여합니다.
   점수가 0.5 이상인 장치는 후보로 분류되며, 공간적 다양성을 확보하기 위해 최소 $k_{min}=3$개의 서로 다른 웨이포인트에서 관측되어야 합니다.

3. 위치 추적 알고 알고리즘

시스템은 수집된 RSSI 데이터만을 사용하여 오프라인에서 로그 AP의 위치 $(\hat{x}, \hat{y})$를 추정합니다. 본 논문은 제로-프라이어(zero-prior) 제약 조건 하에서 세 가지 중심점 기반 접근 방식과 파라미터 기반 베이스라인을 비교 평가합니다:

• 가중 중심점 (Weighted Centroid, WCL): 위치를 웨이포인트 위치의 전력 가중 평균($w_i = 10^{r_i/10}$)으로 추정합니다.
• 지수 가중 중심점 (Exponentially Weighted Centroid, ExpWCL): 고출력 RSSI 측정값을 강조하기 위해 지수 가중치($w_i = e^{\beta r_i}$)를 사용하며, 이는 송신체 근처의 지점에 더 큰 영향력을 부여합니다.
• 앙상블 방법 (Ensemble Method): WCL, ExpWCL 및 파라미터 기반 베이스라인의 추정치를 결합합니다. 추정치들이 일치하면(5m 이내) 이를 평균 내고, 그렇지 않으면 기하학적 중앙값(geometric median)을 사용합니다.
• 파라미터 베이스라인 (LS+Huber): 로그 거리 경로 손실 모델을 사용하여 허버 손실(Huber-loss) 최소화를 통해 송신 전력, 경로 손실 지수 및 위치를 공동으로 추정합니다. 이는 모델 복잡도가 교정 없이 정확도를 높이는지 판단하기 위한 비교 대상으로 사용됩니다.

주요 기여

1. 인프라 프리(Infrastructure-Free) 위치 추적: RF 핑거프린팅, 사전 설치된 센서 또는 사이트 교정 없이 로그 장치를 위치 추적할 수 있는 자율 시스템을 제시했습니다.
2. 제로 구성 가능성 입증: 단일 범용 로봇이 사전 RF 지식 없이 단 한 번의 순찰만으로 실용적인 위치 추적 정확도(중앙값 오차 1.62 m)를 달고 달성할 수 있음을 입증했습니다.
3. 탐지와 복구의 연결: 네트워크 레벨의 탐지와 물리적 사고 대응 사이의 간극을 메우는 워크플로우를 제공하여 신속한 물리적 조사를 가능하게 합니다.

실험 결과

시스템은 800 $m^2$ 규모의 실내 사무실 환경에서 6개의 배포된 로그 AP(스마트폰 및 노트북 핫스팟)를 대상으로 11회의 순찰 실행을 통해 평가되었습니다. (개방형, 드라이월 벽체, 유리 파티션 구역 포함)

• 단일 순찰 성능: 62회의 AP-순찰 세션 전체에서, ExpWCL은 1.62 m의 중앙값 위치 추적 오차를 달성했으며, 추정치의 32.3%가 1 m 이내에 위치했습니다.
  • 중심점 vs 파라미터: 단순 중심점 추정기(WCL, ExpWCL)는 제로-프라이어 조건에서 파라미터 기반 LS+Huber 베이스라인(중앙값 오차 3.41 m)보다 성능이 훨씬 뛰어났습니다. 이는 교정 없이 사용할 경우, 파라미터 모델이 공동 파라미터 추정의 불량한 조건성(ill-conditioned nature)으로 인해 변동성을 유발함을 나타냅니다.
  • 추정기 민감도: 최적의 중심점 방식(ExpWCL)과 제로 파라미터 베이스라인(WCL) 사이의 차이는 0.33 m에 불과했으며, 이는 추정기의 복잡성보다 측정 기하학(measurement geometry)이 더 중요한 요소임을 시사합니다.
• 다중 순찰 집계: 여러 번의 순찰 데이터를 집계했을 때, 6개 장치 중 5개가 1 m 이내로 위치 추적되었습니다.
• 블라인드 검증: 이전에 본 적 없는 두 장치를 대상으로 한 블라인드 테스트에서, 시스템은 73개의 관측된 BSSID 중 이들을 정확히 식별하였으며, 각각 0.34 m와 1.84 m의 오차로 위치를 추적했습니다.
• 기하학적 결정 요인: 정확도는 주로 공간적 측정 커버리지에 의해 결정되었습니다. 여러 방향에서 웨이포인트에 둘러싸인 장치는 서브 미터 정확도를 달 Achieved 했으나, 한 방향(예: 순찰 경로의 가장자리)에서 주로 관측된 장치는 더 높은 오차를 보였습니다.

의의 및 주장

본 논문은 인프라 프리(infrastructure-free) 자율 위치 추적이 실제 사고 대응에 있어 실용적임을 주장합니다. 주요 의의는 다음과 같습니다:

1. 공간 커버리지가 핵심임: 제로-프라이어 제약 조건 하에서, 위치 추정의 품질은 알고리즘의 정교함보다 순찰 경로의 공간적 다양성에 의해 결정됩니다.
2. 운영 가능성: 단순한 단일 로봇 순찰이 사전 RF 데이터 없이도 충분한 정확도(중앙값 ~1.6 m)를 제공하여, 보안 팀이 물리적 복구를 위해 정확한 방이나 복도 구간으로 이동할 수 있도록 안내할 수 있습니다.
3. 강건성: 가벼운 중심점 기반 방식은 사전 전파 데이터가 없을 때 복잡한 파라미터 모델보다 더 안정적이고 신뢰할 수 있는 솔루션을 제공합니다.

저자들은 RogueRover가 네트워크 레벨의 탐지와 물리적 복구 사이의 간극을 효과적으로 메우며, 추가적인 센싱 인프라를 구축할 수 없는 사이버 물리 환경에서 신속한 사고 대응을 위한 실용적인 도구를 제공한다고 결론짓습니다.