🤖 AI

Disentangling Multi-View Scanning in Mamba for Network Traffic Anomaly Detection

이 논문은 다중 뷰 Mamba 기반 네트워크 트래픽 이상 탐지에서 발생하는 중복 누적 및 표현 균질화 문제를 해결하기 위해, 스캐닝 과정을 뷰 불변 정보와 뷰 특유의 정보를 명시적으로 분리하고 보존하는 2단계 '분리 후 융합(disentangle-then-fuse)' 메커니즘으로 재구성함으로써 DisenMamba라는 새로운 프레임워크를 소개한다.

원저자: Xinglin Lian, Chengtai Cao, Ting Zhong, Fan Zhou

게시일 2026-07-28

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Xinglin Lian, Chengtai Cao, Ting Zhong, Fan Zhou

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

당신이 거대하고 북적이는 기차역의 보안 요원이라고 상상해 보십시오. 당신의 임무는 수천 명의 통근자 사이에서 수상하게 행동하는 단 한 명의 사람을 찾아내는 것입니다. 디지털 세계에서 이 "기차역"은 인터넷이며, "통근자"는 전 세계를 가로질러 빠르게 이동하는 데이터 패킷입니다. 오랫동안 보안 시스템은 특정 "현상 수배 전단"(알려진 악성 패턴)을 찾아내어 나쁜 행위자를 잡으려 노력해 왔지만, 해커들은 계속해서 그들의 얼굴을 바꾸고 있으며, 이로 인해 수배 전단은 쓸모없게 되었습니다. 그래서 과학자들은 인공지능(AI)이라 불리는 똑똑한 컴퓨터 두뇌를 사용하여 무엇이 "정상적인" 트래픽인지 학습하고, 이상한 점이 발견되면 이를 알리도록 하기 시작했습니다.

최근에는 Mamba라고 불리는 새로운 유형의 AI 두뇌가 슈퍼스타가 되었습니다. 이것은 긴 이야기(또는 긴 데이터 스트림)를 지치거나 혼란스러워하지 않고 매우 빠르게 읽어낼 수 있는 초고속 독자와 같습니다. Mamba를 더욱 똑똑하게 만들기 위해, 엔지니어들은 Mamba에게 동일한 데이터를 서로 다른 각도에서 바라보는 "여러 개의 눈"(예를 들어 기차를 앞, 옆, 뒤에서 보는 것과 같은 방식)을 부여했습니다. 이를 **멀티 뷰 스캐닝(multi-view scanning)**이라고 합니다. 하나의 눈이 무언가를 놓치더라도 다른 눈이 잡아낼 수 있다는 아이디어였습니다. 하지만 결과적으로, 너무 많은 눈이 잘못된 방식으로 같은 것을 바라보게 되면 오히려 경비원을 더 예리하게 만드는 것이 아니라 둔하게 만들 수 있다는 사실이 밝혀졌습니다.

"네트워크 트래픽 이상 탐지를 위한 Mamba의 멀티 뷰 스캐닝 해소(Disentangling Multi-View Scanning in Mamba for Network Traffic Anomaly Detection)"라는 제목의 이 논문은 놀라운 문제를 다룹니다. Mamba가 여러 개의 눈을 사용할 때, 종종 자신의 반사된 모습에 혼란을 느낀다는 점입니다. 연구진은 서로 다른 "눈"들이 모두 똑같이 지루하고 흔한 세부 사항만을 응시하며, 해커를 알리는 데 결정적인 독특하고 이상한 단서들은 무시하고 있다는 것을 발견했습니다. 그들은 이를 "중복 축적(redundancy accumulation)"이라고 부릅니다. 이는 마치 다섯 명의 보안 요원이 모두 "저 사람 모자를 썼어요!"라고 외치는 동안, 그 사람이 폭탄을 들고 있다는 사실은 완전히 놓치는 것과 같습니다. 모두가 모자에만 집중하기 때문에 폭탄 신호를 묻어버리는 것입니다.

이를 해결하기 위해, 릭린 리안(Xinglin Lian)과 동료들이 이끄는 저자들은 DisenMamba라는 새로운 시스템을 구축했습니다. 단순히 모든 눈이 동시에 소리 지르게 두는 대신, 이들은 정보를 결합하기 전에 "지루하고 흔한 것"(예: 모자)과 "독특하고 이상한 것"(예: 폭탄)을 먼저 분리하도록 시스템을 가르쳤습니다. 그들은 이를 "분리 후 융합(disentangle-then-fuse)" 과정이라고 부릅니다. 이것은 스마트한 분류 기계와 같습니다. 앞, 옆, 뒤에서 본 시각을 가져와서 그들이 모두 동의하는 부분을 제거한 다음, 고유한 부분들을 정교하게 섞는 방식입니다.

결과는 인상적입니다. 실제 세계의 네트워크 트래픽 데이터(까다로운 암호화 트래픽 및 익명 네트워크 포함)를 통해 이 새로운 시스템을 테스트했을 때, DisenMamba는 시도한 그 어떤 방법보다 더 많은 이상 징후를 포착했습니다. 이 시스템은 단순히 나쁜 놈들을 더 잘 잡아내는 것에 그치지 않고, Mamba를 인기 있게 만든 "밀리초 단위"의 속도를 유지하며 더 빨랐습니다. 이 논문은 Mamba가 데이터를 바라보는 방식의 이러한 특정 결함을 수정함으로써, 전체 역의 속도를 늦추지 않으면서도 우리의 디지털 보안 요원을 훨씬 더 경계심 있고 효과적으로 만들 수 있음을 시사합니다.

기술 요약: Mamba를 이용한 네트워크 트래픽 이상 탐지에서의 다중 뷰 스캐닝 분리 (Disentangling Multi-View Scanning in Mamba for Network Traffic Anomaly Detection)

1. 문제 정의

네트워크 트래픽 이상 탐지(NTAD)는 실시간으로 악성 연결을 식별하는 것을 목표로 하는 중요한 사이버 보안 과업입니다. 딥러써닝 방법론이 지배적인 역할을 하고 있지만, 기존 아키텍처들은 특정 한계에 직면해 있습니다: MLP와 CNN은 장거리 의존성 및 다중 뷰 상호작용을 포착하는 데 어려움을 겪으며, Transformer는 이차 복잡도(quadratic complexity) 문제를 안고 있고, RNN은 병렬성이 부족합니다. 최근 선형 시간 복잡도를 가진 상태 공간 모델(SSM)인 Mamba가 보완적인 문맥적 단서를 포착하기 위해 설계된 다중 뷰 스캐닝(multi-view scanning) 메커니즘 덕분에 NTAD를 위한 유망한 백본으로 부상했습니다.

그러나 본 논문은 다중 뷰 Mamba를 NTAD에 적용할 때 간과되었던 구조적 결함을 식별합니다: 바로 **중복 축적(redundancy accumulation)**입니다.

현상: 표준 다중 뷰 Mamba의 서로 다른 스캐닝 브랜치들은 상당한 양의 뷰 불변 정보(view-invariant information)(뷰 전반에 걸쳐 공통적인 패턴)를 포착합니다. 일반적인 퓨전 방식(예: 단순 합산 또는 결합)을 사용할 경우, 이러한 불변 성분들이 반복적으로 증폭됩니다.
결과: 반대로, 뷰 특이적 정보(view-specific information)(방향성 및 보완적 단서)는 희석되거나 억제됩니다. 이는 **표현 동질화(representation homogenization)**로 이어지며, 퓨전된 출력이 개별 뷰의 불변 패턴과 점점 더 유사해지게 만듭니다.
결과: 이러한 "다중 뷰 저하 문제(multi-view degradation problem)"로 인해, 다중 뷰 Mamba 아키텍처는 미세하고 방향성을 가진 이상 트래픽 패턴에 대한 민감도를 상실하여 단일 뷰 모델보다 성능이 저하되는 결과를 초래합니다.

2. 방법론: DisenMamba

중복 축적 문제를 해결하기 위해, 저자들은 다중 뷰 스캐닝을 **"분리 후 융합(disentangle-then-fuse)"**이라는 2단계 과정으로 재구성한 새로운 프레임워크인 DisenMamba를 제안합니다.

2.1 다중 뷰 스캐닝 전략

네트워크 트래픽의 계층적 구조(플로우가 패킷으로 구성됨)를 인식하여, 모델은 다음 네 가지 뷰에 대해 작업 특화된 스캐닝 전략을 채택합니다:

순방향 플로우 뷰 (Forward Flow-View)
역방향 플로우 뷰 (Backward Flow-View)
순방향 패킷 뷰 (Forward Packet-View)
역방향 패킷 뷰 (Backward Packet-View)
이 양방향, 다중 입도(multi-granularity) 접근 방식은 단방향 스캐닝이 놓치는 보완적인 의존성을 포착합니다.

2.2 분리된 다중 뷰 스캐닝 (Disentangled Multi-View Scanning, DMVS)

원시 특징을 직접 융합하는 대신, 각 스캐닝 뷰는 퓨전 전 두 개의 별도 브랜치로 분해됩니다:

공유 브랜치 (Shared Branch, 뷰 불변): 파라미터를 공유하는 투영 행렬을 사용하여 모든 뷰에 걸친 공통 패턴을 추출합니다.
프라이빗 브랜치 (Private Branch, 뷰 특이): **잔차 기반 추출 메커니즘(residual-based extraction mechanism)**을 사용합니다. 먼저 뷰 표현에서 공유(불변) 성분을 제거한 다음, **저계수 투영(low-rank projections)**을 적용하여 점진적이고 뷰 특이적인 정보를 추출합니다. 이 저계수 제약은 공유 정보가 프라이빗 브랜치로 누출되는 것을 방지합니다.
스톱 그레이디언트 (Stop-Gradient): 프라이빗 특징 추출 과정 중 공유 브랜치에 스톱 그레이디언트 연산을 적용하여 그래디언트 간섭을 방지합니다.

2.3 다중 뷰 융합 (Multi-View Fusion, MVF)

퓨전 과정은 기여도를 균형 있게 조절하도록 설계되었습니다:

공유 특징 (Shared Features): 불변 패턴을 강화하기 위해 특징 수준의 합산(summation)을 통해 집계됩니다.
프라이빗 특징 (Private Features): 보완적인 방향성 단서를 통합하기 위해 결합(concatenation) 및 투영됩니다.
최종 출력: 불변 표현과 특이 표현을 융합하여 최종 인코딩된 표현을 생성하며, 이를 통해 뷰 특이적 신호가 불변 노이즈에 의해 묻히지 않도록 보장합니다.

2.4 학습 목적 함수

모델은 제로 포지티브 학습(zero-positive learning) 설정(정상 트래픽만으로 학습) 하에 작동합니다. 손실 함수는 다음을 결합합니다:

재구성 손실 ( $L_{REC}$ ): 정상 패턴을 학습하기 위해 입력과 재구성된 트래픽 사이의 코사인 유사도 손실을 사용합니다.
분리 제약 ( $L_{DIS}$ ): 공유 표현과 프라이빗 표현 사이의 통계적 의존성을 명시적으로 최소화하여 효과적인 분리를 보장하는 경량 교차 공분산 손실(cross-covariance loss)을 사용합니다.

3. 주요 기여

중복 축적의 식별: 저자들은 Mamba 기반 NTAD에서 발생하는 "중복 축적" 현상을 체계적으로 식별하고 정량화하였으며, 이를 다중 뷰 저하를 일으키는 근본적인 병목 현상으로 정의했습니다.
DisenMamba 프레임워크: "분리 후 융합" 패러다임을 통해 뷰 불변 성분과 뷰 특이 성분을 명시적으로 분리함으로써 표현 동질화를 효과적으로 완화하는 혁신적인 아키텍처를 제안했습니다.
효율적인 분리 메커니즘: 추론 오버헤드를 최소화하면서도 효과적인 분리를 달기 위해 경량 투영 모듈, 잔차 기반 추출, 저계수 제약 및 특정 분리 손실을 도입했습니다.
실증적 검증: 제안된 방법이 Mamba의 선형 시간 효율성을 유지하면서도 최신 NTAD 방법론들을 능가함을 광범위한 실험을 통해 입증했습니다.

4. 실험 결과

저자들은 세 가지 실제 데이터셋(CIC-IoT2023, DoHBrw2020, ISCX-Tor2016)에 대해 DisenMamba를 평가했습니다.

성능: DisenMamba는 모든 지표(AUC, Accuracy, F1-Score)에서 최고 수준(state-of-the-art)의 결과를 달성했습니다. 예를 들어, CIC-IoT2023에서는 베이스라인(SMamba) 대비 AUC를 3.1%, DoHBrw2020에서는 3.9% 향상시켰습니다.
어블레이션 연구 (Ablation Studies):
- 분리 설계를 제거하거나 단순 합산을 사용할 경우 성능이 크게 하락하여, 제안된 메커니즘의 필요성을 확인했습니다.
- 저계수 투영이나 스톱 그레이디언트 연산을 제거하면 성능이 저하되어, 정보 누출을 방지하기 위한 구조적 제약의 중요성을 입증했습니다.
중복 분석: CKA(Centered Kernel Alignment) 유사도 분석 결과, 표준 퓨전은 뷰 간의 유사성을 높이는 반면(동질화), DisenMamba는 이 유사성을 성공적으로 낮추어 보완적인 정보를 보존함을 보여주었습니다.
효율성: 본 프레임워크는 경량 투영 모듈로 인한 미미한 오버헤드만을 가지며, 기존 Mamba 모델과 대등한 밀리초 단위의 추론 지연 시간을 유지합니다.

5. 의의 및 주장

본 논문은 네트워크 트래픽 분석을 위한 새로운 분리된 다중 뷰 Mamba 패러다임을 구축했다고 주장합니다. 이 연구의 주요 의의는 단순한 다중 뷰 확장이 NTAD에서 오히려 성능을 저하시킬 수 있다는 역설적인 발견을 해결했다는 점에 있습니다. 중복 축적이라는 구조적 결함을 명시적으로 해결함으로써, DisenMamba는 Mamba의 다중 뷰 스캐닝 능력을 온전히 활용할 수 있게 합니다.

저자들은 자신들의 연구가 단순히 점진적인 개선이 아니라, SSM을 네트워크 트래픽에 적용할 때 다중 뷰 스캐닝을 어떻게 적용해야 하는지에 대한 근본적인 교정이라고 강조합니다. 그들은 "분리 후 융합" 접근 방식이 암호화된 네트워크 트래픽에 내재된 이질적인 다중 뷰 이상치를 포착하는 데 필수적이라고 주장하며, 이는 더욱 민감하고 효율적인 이상 탐지 시스템을 향한 경로를 제시합니다. 결론적으로, 이 프레임워크가 컴퓨터 비전이나 시계열 분석과 같은 다른 도메인으로 확장될 수 있음을 시사하지만, 현재의 연구는 엄격하게 NTAD에 집중하고 있습니다.