Continuous Behavioral Authentication via Multi-Expert BERT Log Analysis for Secure Data Sharing

기술 요약: 멀티 전문가 BERT 로그 분석을 통한 지속적 행동 인증

문제 정의
현대 모바일 기기는 제로 트러스트 정책에 의해 관리되는 데이터 공유 인프라의 중심 역할을 하고 있으나, 전통적인 인증은 진입 시점의 검증(예: PIN, 생체 인식)에 의존하는 정적인 방식에 머물러 있다. 일단 세션이 시작되면 이러한 메커니즘은 적법한 사용자가 계속 제어권을 유지하고 있는지 검증할 수 없으며, 이는 물리적 접근 공격에 기기를 취약하게 만든다. 타이핑 리듬이나 움직임과 같은 행동 생체 인식 기반의 지속적 인증(CA)이 존재하지만, 이는 종종 침해적인 센서 데이터를 요구한다. 또한, 기존의 로그 이상 탐지기(예: LogBERT)는 서버 인프라의 신뢰성을 위해 설계되어, 연속적인 사용자별 신뢰 점수를 생성하기보다는 윈도우당 상태가 없는 이진 판정을 내린다. 이에 따라, 네트워크 식별, 전력 소비 역학, 공간적 토폴로지를 본래 인코딩하고 있는 Android 시스템 로그를 비침해적이고 센서가 필요 없는 사용자-기기 컨텍스트 보증 신호로 활용하는 데에는 공백이 존재한다.

방법론
제안된 프레임워크는 원시 Android 시스템 로그를 정책 결정 지점(PDP)을 위한 연속적 신뢰 점수로 변환하기 위해 4단계 파이프라인을 활용한다:

1. 로그 파싱(Log Parsing): 원시 logcat 스트림은 도메인에 적응된 Drain 파서에 의해 처리된다. 이는 로그 라인을 안정적인 이벤트 템플릿(예: <mac>, <ipv4>와 같은 타입화된 플레이스홀더 포함)과 동적 변수 값으로 분해한다.
2. 특징 공학(Feature Engineering): 파싱된 데이터는 세 가지 의미론적으로 독립적인 채널로 라우팅된다:
   • 식별 채널(Identity Channel): 마지막 50개의 이벤트 ID 슬라이딩 윈도우를 마지막 관찰된 동적 값과 쌍을 이루어 결합하며, 타입 인지 임베딩을 주입한다.
   • 배터리 채널(Battery Channel): DeviceStatisticsService 로그를 이중 지수 이동 평균(EMA) 텔레메트리로 처리하여, 운영 모드(STABLE, DRAIN, CHARGE)와 시간적 간격을 인코딩한다.
   • Wi-Fi 토폴로지 채널(Wi-Fi Topology Channel): WifiPickerTracker 스캔을 융합된 SSID–RSSI 토큰 쌍으로 인코딩한다.
3. 멀티 전문가 미세 조정(Multi-Expert Fine-Tuning): 도메인 특화 마스크 언어 모델링(MLM) 작업을 통해 Android 로그 구문으로 사전 학습된 공유 BERT-base 인코더를 각 채널을 위한 특화된 헤드와 함께 미세 조정한다:
   • 식별 전문가(Identity Expert): 문맥을 바탕으로 마스킹된 동적 변수 값을 예측한다. 식별자(예: IP 주소)의 파편화를 방-지하기 위해 커스텀 어휘집을 사용하며, 미등록 단어(OOV) 값에는 낮은 신뢰도를 할당한다.
   • 배터리 전문가(Battery Expert): 배터리 전이를 6개의 시간 빈(예: TS_INSTANT, TS_MID) 및 논리적 위반 클래스로 분류한다. 이는 절대적인 배터리 잔량보다는 전력 소비의 리듬에 초점을 맞춘 레벨 불가지론적(level-agnostic) 모델이다.
   • Wi-Fi 토폴로지 전문가(Wi-Fi Topology Expert): SSID 식별(교차 엔트로피)과 신호 강도(MSE)를 모두 재구성하는 듀얼 헤드 오토인코더로서, 액세스 포인트 간의 공간적 상관관계를 학습한다.
4. 멀티 전문가 퓨전(Multi-Expert Fusion): 세 전문가로부터 얻은 신뢰 점수($S_{Ident}$, $S_{Batt}$, $S_{WiFi}$)를 집계한다. 이들은 고신뢰 영역 근처의 편차를 증폭하기 위해 로그 공간 변환($-\ln(S + \epsilon)$)을 거친 후 Z-점수 표준화를 수행한다. 마지막으로, 5-최근접 이웃(5-NN) 거리 분류기가 변환된 벡터를 깨끗한 훈련 데이터로부터 유도된 "정상 영역"과 비교한다. 거리가 보정된 임계값(99.9 백분위수)을 초과하면 이상 징후가 플래그로 지정된다.

주요 기여

• 프레임워크: Android 시스템 로그를 비침해적인 사용자 및 기기 증거의 소스로 활용하는 지속적 행동 인증 시스템을 제공한다.
• 사전 학습 전략: 특정 사용자 데이터 없이도 Android 로그의 구조적 문법(공출 현상 규칙)을 학습하는 도메인 적응형 BERT 사전 학습 방식을 도입한다.
• 멀티 전문가 아키텍처: 행동 인증을 네트워크 식별, 배터리 타이밍, 공간 토폴로지의 세 가지 별개 차원으로 분해하여 결합하기 전 개별적으로 모델링하는 참신한 구조를 제본한다.
• 퓨전 메커니즘: 로그 공간 변환과 최근접 이웃 분류기를 통해, 단순한 이진 경고가 아닌 제로 트러스트 정책 결정 지점에 적합한 연속적 신뢰 점수를 생성한다.
• 평가: 의미론적 편차(OOV 값), 물리적 이상(배터리 소모), 환경 변화(Wi-Fi 토폴로지)를 포괄하는 종합적인 평가를 수행한다.

실험 결과
본 프레임워크는 Android 11.0 기반의 OnePlus 8T에서 수집된 데이터로 평가되었다.

• 식별 전문가: 문맥이 주어졌을 때 동적 변수를 예측하는 데 있어 99.07%의 Top-1 정확도를 달로했다. 이는 OOV 값에 대한 견고함(미등록 값에 대한 100% 식별률)과 값-문맥 불일치에 대한 높은 민감도(불일치 100% 시 신뢰도가 ~98%에서 ~10%로 하락)를 입증했다.
• 배터리 전문가: 자원 고갈 공격으로 인한 방전 리듬의 변화를 성공적으로 감지했다. 주입된 이상 징후(급격한 방전 이벤트)에 대해 **100% 재현율(Recall)**을 달성했으며, 훈련 분포에 TS_INSTANT 방전 이벤트가 포함되지 않았기에 **오탐(False Positive)은 0%**였다.
• Wi-Fi 토폴로지 전문가: 낯선 환경에 대해 높은 민감도(신뢰도가 **0.23%**로 하락)를 보였으나, 부분적인 신호 손실(AP 누락 시 97.30% 신뢰도) 및 미세한 변동은 잘 견뎌냈다.
• 퓨전 분류기: 엔드 투 엔드 시스템은 제어된 설정에서 모든 주입된 이상 징후를 탐지(오탐률 0%)하면서도, 오탐률(FPR)을 1% 미만(데이터셋에 따라 0.45%~0.78% 범위)으로 유지했다. 양호한 Wi-Fi 변동은 대부분 허용되었으며, 이는 시스템이 노이즈와 실제 컨텍스트 변화를 구분할 수 있음을 확인시켜 주었다.

의의 및 주장
본 논문은 Android 시스템 로그가 지속적 인증을 위한 실용적이고 센서가 필요 없는 신호 역할을 할 수 있다고 주장한다. 네트워크, 전력, 공간적 양상을 융합함으로써 시스템은 제로 트러스트 아키텍처에 적합한 PDP용 신뢰 점수를 생성하며, 침해적인 재인증을 통해 사용자 경험을 저해하지 않으면서도 의미론적, 타이밍, 토폴로지 편차를 탐지할 수 있다. 저자들은 이 연구를 도메인 분해된 BERT 기반 전문가 모델을 온디바이스 로그에 적용하여 지속적 행동 인증을 시도한 첫 번째 사례로 규정하며, 본 시스템이 세션 전반에 걸쳐 사용자-기기 컨텍스트의 유효성을 검증함으로써 현대 인증 프레임워크의 핵심 축을 지원할 수 있음을 시사한다.