🤖 machine learning

Behavioral Residualization for Unsupervised Intrusion Detection in Automotive CAN Networks

이 논문은 개별 중재 ID(arbitration ID) 기준선에 대해 시간적, 프로토콜 및 페이로드 특징을 추출하고 정규화함으로써, 특히 정당한 ID를 재사용하는 공격에 대해 비지도 침입 탐지 성능을 크게 향고시키는 CAN 특화 표현 방식인 ID별 행동 잔차화(per-ID behavioral residualization)를 소개하며, 동시에 새로운 ID 플러딩(novel-ID flooding) 및 교차 ID 퍼징(cross-ID fuzzing)을 탐지하는 데 있어 발생하는 한계를 명시적으로 정량화한다.

원저자: Chandan Hegde, Mukundh R Reddy

게시일 2026-08-07

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Chandan Hegde, Mukundh R Reddy

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

당신의 자동차를 수십 개의 작은 컴퓨터인 전자 제어 장치(ECU)들이 엔진을 돌리고, 브레이크를 작동시키고, 라디오를 재생하기 위해 끊임없이 서로 대화를 나누는 북적이는 도시라고 상상해 보십시오. 이들은 CAN 버스라고 불리는 단일한 공유 고속도로를 통해 대화합니다. 이 시스템은 수십 년 전에 저렴하고 믿기 힘들 정도로 빠르게 설계되었기 때문에, 현대의 컴퓨터들이 보통 갖추고 있는 보안 요원, 비밀 코드, 그리고 잠긴 문들을 건너뛰었습니다. 이 때문에 만약 해커가 자동차의 진단 포트에 접속하거나 인포테인먼트 시스템을 해킹한다면, 그들은 이 고속도로에 가짜 메시지를 외칠 수 있습니다. 그들은 속도계에 당신이 멈춰 있는데도 시속 100마일로 달리고 있다고 말하거나, 브레이크를 잠그라고 명령할 수 있습니다.

이를 막기 위해 보안 전문가들은 "침입 탐지 시스템"—기본적으로 교통량을 감시하다가 무언가 이상해 보이면 "멈춰!"라고 외치는 디지털 경비원—을 구축합니다. 오랫동안 이 경비원들은 매우 단순했습니다. 그들은 단지 존재하지 않는 번호판을 가진 자동차처럼, 한 번도 본 적 없는 메시지만을 찾아냈습니다. 하지만 똑똑한 해커들은 실존하는 번호판을 훔쳐서 도난 차량을 운전하는 데 사용할 수 있다는 점을 알아차렸습니다. 만약 경비원이 오직 새로운 번호판만을 확인한다면, 그들은 도둑을 놓치게 될 것입니다. 이 논문은 큰 질문을 던집니다. "우리가 경비원에게 완벽하게 합법적인 변장을 하고 있더라도 도둑을 식별하도록 가르칠 수 있을까?"

이 논문의 저자인 찬단 헤그데(Chandan Hegde)와 무쿤드 R. 레디(Mukundh R Reddy)는 "행태적 잔차화(Behavioral Residualization)"라고 불리는, 자동차의 교통량을 관찰하는 새로운 방법을 제안합니다. 단순히 메시지가 새로운지를 확인하는 대신, 그들은 시스템이 모든 개별 메시지 ID의 "성격"을 알도록 가르칩니다. 이것은 마치 부모가 자녀의 일과를 너무나 잘 알고 있어서, 자녀가 같은 옷을 입고 같은 이름을 사용하고 있더라도 아이가 평소와 다르게 행동하면 즉시 알아차리는 것과 같습니다.

연구진은 각 특정 메시지 ID(예: 속도계용 ID)를 관찰하고 그 ID의 정상적인 습관, 즉 얼마나 빨리 말하는지, 메시지의 길이는 어느 정도인지, 그리고 내부 데이터가 어떤 모습인지를 학습하는 시스템을 구축했습니다. 그런 다음 그들은 무엇이 정상인지에 대한 "기준선(baseline)"을 만듭니다. 새로운 메시지가 도착하면, 시스템은 "이것을 본 적이 있는가?"라고 묻는 대신, "이 메시지가 이 특정 ID가 평소에 하는 행동과 다르게 행동하고 있는가?"라고 묻습니다. 만약 속도계가 이전보다 두 배 더 빠르게 메시지를 보내기 시작한다면, 시스템은 이를 "행태적 잔차(behavioral residual)"—즉, 정상 범주로부터의 이상한 편차—로 표시합니다.

연구진은 이 아이디어를 두 가지 다른 자동차 데이터 세트에 대해 테스트했습니다. 하나는 해커들이 명백한 속임수를 사용한 합성 데이터 세트(HCRL)였고, 다른 하나는 해커들이 흔적을 숨기기 위해 합법적인 ID를 재사용한 훨씬 더 어려운 실제 데이터 세트(ROAD)였습니다. 결과는 인상적이었습니다. 해커들이 속도계나 엔진 온도를 조작하기 위해 실제 ID를 재사용하려고 했을 때, 이 새로운 "행태적" 시스템은 거의 매번 그들을 잡아냈으며, 성공률(재현율)은 99% 이상이었습니다. 이 시스템은 너무나 잘 작동해서, 어떤 특정 "탐지기" 알고리즘을 사용하느냐는 중요하지 않았습니다. 핵심은 데이터를 표현하는 방식에 있었습니다.

하지만 저자들은 자신들의 시스템이 작동하지 않는 부분에 대해서도 매우 정직합니다. 만약 해커가 수천 개의 완전히 새로운 가짜 ID를 한꺼번에 네트워크에 쏟아붓거나(DoS 공격), 혹은 여러 그룹의 다양한 ID를 동시에 건드린다면(퍼징 공격), 시스템은 혼란에 빠진다는 것을 발견했습니다. 시스템이 각 ID의 개별적인 습관에 너무 집중하고 있기 때문에, 전체 군중이 미쳐 날뛰는 상황에서는 큰 그림을 놓치게 됩니다. 이는 마치 특정 인물이 이상하게 행동하는 것을 포착하는 데는 매우 뛰어나지만, 로비에서 일어나는 폭동은 놓쳐버리는 경비원과 같습니다.

결론적으로, 이 논문은 메시지가 '무엇인가'가 아니라 어떻게 '행동하는가'에 집중함으로써, 우리가 변장하여 섞여 들려는 정교한 해커들을 잡을 수 있음을 보여줍니다. 비록 이 시스템이 모든 유형의 공격에 완벽하지는 않지만, 해커가 도난된 신원을 사용하는 현실적인 위협에 대해 훨씬 더 강력한 방패를 제공하며, 이는 정확히 현대의 규제들이 우려하는 지점입니다. 저자들은 이 접근 방식이 우리의 미래 자동차를 위한 더 똑똑하고 적응력 있는 보안을 구축하기 위한 견고한 출발점이라고 제안합니다.

기술 요약: 자동차 CAN 네트워크의 비지도 침입 탐지를 위한 행동 잔차화(Behavioral Residualization)

1. 문제 정의

현대 자동차는 컨트롤러 영역 네트워크(CAN) 버스에 의존하고 있는데, 이는 저비용 및 실시간 성능을 위해 설계된 프로토콜로 고유한 메시지 인증, 암호화 또는 무결성 보호 기능이 결여되어 있습니다. 결과적으로, 물리적 또는 원격 접근 권한(예: 침해된 진단 포트 또는 인포테인먼트 유닛을 통한 접근)을 가진 공격자는 임의의 프레임을 주입할 수 있습니다.

UNECE R155 및 ISO/SAE 21434와 같은 규제 프레임워크가 침입 탐지 시스템(IDS)을 의무화하고 있지만, 기존 솔루션의 대부분은 **존재 기반 특징(presence-based features)**에 의존합니다. 이러한 방법들은 새로운 arbitration ID, 고정된 페이로드 바이트 또는 특이한 데이터 길이 코드(DLC) 값을 식별함으로써 이상 징후를 탐지합니다. 이러한 접근 방식은 (쉽게 분리 가능한 공격을 포함하는) HCRL과 같은 공개 데이터셋에서는 거의 완벽한 점수를 달 Achieve 하지만, 정상적인 arbitration ID를 재사용하는 현실적인 공격자에게는 실패합니다. 이러한 시나리오에서는 표면적인 이상 징후가 존재하지 않으므로, 탐지는 알려진 ID의 트래픽 내에서 발생하는 미세한 행동적 편차에 의존해야 합니다.

2. 방법론: ID별 행동 잔차화 (Per-ID Behavioral Residualization, PIRD)

본 논문은 정당한 ID를 재사용하는 공격을 탐지하는 과제에 특화된 표현 학습 기술인 **ID별 행동 잔사화(PIRD)**를 제안합니다. PIRD는 새로운 탐지 알고리즘을 제안하기보다는, 입력 데이터를 특정 ID의 고유한 정상 행동으로부터의 편차를 강조하는 표현으로 변환합니다.

핵심 메커니즘

슬라이딩 윈도우 특징 추출: 각 arbitration ID $k$ 에 대해, 시스템은 가장 최근의 $w$ 개 프레임(기본값 $w=30$ )을 유지하는 슬라이딩 윈도우를 관리합니다. 이 윈도우로부터 세 가지 계열에 걸친 14개의 행동 특징을 추출합니다:
- 간격 도착 시간 (IAT): 평균, 표준 편차, 중앙값, 최소값 및 최대값.
- DLC: 데이터 길이 코드의 최빈값 및 표준 편차.
- 페이로드: 평균, 분산, 최대 절대 연속 변화량, 고유 바이트 값의 개수 및 섀넌 엔트로피(Shannon entropy).
- 컨텍스트: 윈도우 채움 비율(fill ratio) 및 ID가 마지막으로 관찰된 이후 경과 시간.
Per-ID 잔차 변환: 핵심 기여는 잔차화 단계입니다. 오직 정상 트래픽만을 사용하는 캘리브레이션 단계 동안, 시스템은 각 arbitration ID $k$ 에 특화된 각 특징 $j$ 의 평균( $\mu^k_j$ )과 표준 편차( $\sigma^k_j$ )를 계산합니다. 임의의 테스트 윈도우에 대해, 원시 특징 값 $x^k_{t,j}$ 는 다음과 같이 표준화된 잔차로 변환됩니다:
$r^k_{t,j} = \frac{x^k_{t,j} - \mu^k_j}{\sigma^k_j + \epsilon}$
만약 캘리브레이션 중에 해당 ID가 없었다면, 전역 통계량이 폴백(fallback)으로 사용됩니다.
탐지기 불가지론적 평가 (Detector-Agnostic Evaluation): 생성된 잔차 벡터는 표준 비지도 이상 탐지 알고리즘(Isolation Forest, One-Class SVM, LOF, HBOS, Elliptic Envelope, Autoencoder)에 입력됩니다. 이 프레임워크는 성능 향상이 특정 탐지기가 아닌, '표현(representation)' 자체에 의해 주도되도록 설계되었습니다.
Per-Capture 평가 프로토콜: 독립적인 주행 세션으로 구성된 ROAD 데이터셋의 경우, 저자들은 "per-capture" 프로토콜을 도입했습니다. 데이터셋을 단일 연속 스트림으로 취급하는 대신, 시간적 정렬을 보장하기 위해 각 개별 캡처의 주입 전 정상 구간에서 캘리브레이션과 임계값 설정을 수행합니다.

3. 주요 기여

Per-ID 행동 잔차 표현: 모든 특징을 arbitration ID 자체의 정상 베이스라인에 조건화하는 방법입니다. 이를 통해 주입된 프레임이 정당한 ID 상에서 발생하더라도, 해당 ID의 정상 범위를 벗어난 큰 표준화된 편차를 생성하게 합니다.
다중 탐지기 검증: 성능 향상이 특정 알고리즘이 아닌 잔차 표현 자체에서 기인함을 입증했습니다. 이 방법은 6개의 비지도 탐지기에 걸쳐 평가되었습니다.
현실적인 데이터에 대한 엄격한 평가: 정당한 ID를 재사용하고 물리적으로 검증된 공격을 포함하는 ROAD 데이터셋에 이 방법을 적용하여, "존재 편향적"인 HCRL과 대조하였습니다.
명시적 강건성 경계: 숨겨진 결함으로 취급하기보다, novel-ID 플러딩(flooding) 및 cross-ID 퍼징(fuzzing)과 같은 실패 모드를 정직하게 정량화했습니다.

4. 실험 결과

HCRL (합성/존재 기반) 성능

잔차 vs 원시 (Residual vs. Raw): 원시 행동 특징은 RPM 및 Gear 스푸핑에 대해 성능이 낮았습니다 (F1 $\approx$ 0.00). 잔차화는 성능을 극적으로 개선하여, RPM 스푸핑에서 0.992, Gear 스푸핑에서 0.946의 F1 점수를 달성했습니다.
탐지기 독립성: 5개의 무작위 시드와 6개의 탐지기에 걸쳐, 잔차화는 24개 셀 중 21개에서 평균 F1을 향상시켰습니다.
실패 모드: 이 방법은 novel ID를 포함한 DoS 공격에서는 실패했습니다 (F1 = 0.02). 이는 알려지지 않은 ID에 대해서는 per-ID 베이스라인을 구축할 수 없기 때문입니다.

ROAD (실제 환경/정당한 ID 재사용) 성능

표적 공격: 단일 AID 공격(correlated-signal, speedometer, reverse-light)에 대해, PIRD는 공격이 정당한 ID를 재사용함에도 불구하고 Recall $\ge$ 0.99 및 ROC-AUC $\approx$ 0.99를 달성했습니다.
퍼징 (Fuzzing): cross-ID 퍼징 공격에서는 성능이 크게 하락했습니다 (F1 $\approx$ 0.27). 이는 per-ID 조건화가 탐지할 수 없는 집단 수준의 변화를 나타내기 때문입니다.
오탐률 (FPR): ROAD에서 잔차 FPR은 2~5% 사이로 관찰되었으며, 이는 정상적인 주행 상태의 변화(예: 스로틀 변화)가 정상 윈도우를 임계값 위로 이동시키는 것에 기인합니다.

효율성

지연 시간 (Latency): 탐지 지연은 zero 윈도우에 집중됩니다. 공격은 단일 슬라이딩 윈도우 단계 내(최악의 경우 약 1.1ms)에서 탐지됩니다.
처리량 (Throughput): 시스템은 일반적인 하드웨어에서 초당 약 0.2백만 개의 윈도우를 처리하며, 잔차 변환에 의한 오버헤드는 무시할 수 있는 수준입니다.

5. 의의 및 주장

본 논문은 per-ID 행동 잔차화가 특정 탐지 알고리즘과는 별개로, CAN 침입 탐지를 위해 일반적으로 유용한 표현임을 주장합니다.

존재에서 행동으로의 전환: 본 연구는 효과적인 IDS가 현대적 위협에 대응하기 위해 단순히 "새로운" ID나 "고정된" 바이트를 확인하는 것을 넘어, 알려진 ID의 행동 내에서의 편차를 탐지해야 함을 보여줍니다.
일반화: 이 방법은 합성 데이터(HCRL)에서 실제 물리적으로 검증된 데이터(ROAD)로 성공적으로 일반화되었으며, 이는 성능 향상이 데이터셋 특유의 지름길(shortcut)에 의한 것이 아님을 증명합니다.
정의된 커버리지: 저자들은 명시적으로 방법의 "커버리지 경계"를 정의합니다. PIRD는 표적 정당 ID 공격에는 매우 효과적이지만, novel-ID 플러딩 및 cross-ID 집단 변화에는 무력합니다. 논문은 이러한 제한이 정당한 ID 재사용에 대한 강건성을 위한 필연적인 트레이드오프이지, 시스템의 결함이 아니라고 주장합니다.
재현성: 본 연구는 세션 구조의 실제 데이터에 필요한 per-capture 평가 프로토콜을 확립하였으며, 재현성을 지원하기 위해 오픈 소스 코드와 설정을 제공합니다.

결론적으로, 본 논문은 잔차 연산자(residual operator)가 정당한 arbitration ID를 재사용하는 정교한 CAN 침입을 비지도 방식으로 탐지할 수 있게 하는 결정적인 요소라고 상정합니다.