기술 요약: 암호화된 트래픽 분석을 위한 생성형 AI

문제 정의

암호화된 네트워크 트래픽의 기하급수적인 성장은 기존의 심층 패킷 검사(DPI) 기술을 무력화시켰으며, 이에 따라 플로우 기반 및 피처 기반 분석으로의 전환이 필연적이 되었습니다. 그러나 이 영역에서 강력한 머신러닝 모델을 개발하는 데에는 두 가지 결정적인 장벽이 존재합니다:

1. 데이터 희소성 및 불균형: 실제 데이터셋은 정상 트래픽이 압도적으로 많으며, 이상 징후나 공격 패턴은 현저히 적게 나타납니다. 이러한 불균형은 위협을 신뢰성 있게 탐지할 수 있는 모델을 훈련하는 데 방해가 됩니다.
2. 개인정보 보호 제약: 암호화의 필요성은 패킷 내용에 대한 가시성을 제한하며, 네트워크 데이터의 민감성은 연구 및 모델 훈련을 위한 실제 데이터셋의 공유를 제한합니다.

기존의 합성 데이터 생성 방식은 정상 트래픽과 정교한 공격을 구분 짓는 복잡한 피처 간 상관관계와 미세한 통계적 특성을 보존하는 데 어려움을 겪는 경우가 많습니다.

방법론

저자들은 생성형 AI(GAI) 기술을 사용하여 고품질의 균형 잡힌 합성 암호화 트래픽 데이터셋을 생성하기 위한 엔드 투 엔드(end-to-end) 방법론을 제안합니다. 이 접근 방식은 통계적 분석, 클러스터링, 그리고 상관관계를 고려한 생성을 통합합니다.

1. 데이터 전처리 및 피처 선택

• 데이터셋: 본 연구는 CICIDS2017 데이터셋과 darknet 트래픽 데이터를 활용하였습니다.
• 피처 선택: 암호화된 트래픽을 특징짓는 7가지 핵심 피처를 식별하였습니다: 흐름 지속 시간(Flow Duration), 총 순방향/역방향 패킷 수(Total Forward/Backward Packets), 총 순방향/역방향 패킷 길이(Total Length of Forward/Backward Packets), 그리고 양방향의 최대 패킷 길이(Maximum Packet Lengths).
• 이상치 레이블링: 병합된 데이터셋에서 이상 패턴을 식별하기 위해 오염율(contamination rate) 0.1의 Isolation Forest 알고리즘을 적용하였습니다.
• 전처리: 결측치는 중앙값(median)을 사용하여 대체하였고, 수치형 피처는 Standard Scaler를 사용하여 표준화하였습니다.

2. 통계적 및 구조적 분석

• 분포 분석: 저자들은 피처 분포(왜도, 첨도, 이상치)를 분석하였으며, 대부분의 피처가 오른쪽으로 치우친(right-skewed) 분포를 보임을 확인하였습니다.
• 클러스터링: 정상 트래픽과 이상 트래픽 클래스에 각각 K-means 클러스터링을 적용하였습니다. 이를 통해 정상 트래픽에 대한 5개의 주요 클러스터와 이상 트래픽에 대한 3개의 뚜렷한 클러스터를 식별하여 데이터 내의 자연스러운 그룹화를 보존하였습니다.
• 상관관계 보존: 피처 간의 관계(예: 패킷 수와 바이트 수 사이의 관계)를 유지하는 데 중점을 두었으며, 이는 기저의 네트워크 프로토콜을 반영합니다.

3. 합성 데이터 생성 프로세스

생성 프로세스는 클러스터링 정보와 상관관계 인지 조정을 결합한 하이브리드 접근 방식을 채택하였습니다:

• 클래스별 생성: 정상 클래스와 이상 클래스에 서로 다른 생성 전략을 적용하였습니다.
  • 정상 트래픽: 70%의 샘플은 클러스터 중심 주변의 클러스터 기반 샘플링을 통해 생성되었고, 30%는 노이즈가 추가된 직접 샘플링을 통해 도출되었습니다.
  • 이상 트래픽: 다양화된 접근 방식을 사용하여, 60%는 클러스터 기반 생성을, 40%는 다양하고 극단적인 공격 패턴을 만들기 위한 "이상치 증폭(anomaly amplification)"을 사용하였습니다.
• 상관관계 인지 조정: 생성된 값들이 원본 데이터에서 관찰된 통계적 관계를 유지하도록 조정되었습니다.
• 유효성 제약 조건: 데이터의 유효성을 보장하기 위해 도메인 특정 제약 조건(예: 음수가 아닌 패킷 수)이 적용되었습니다.
• 출력: 이 프로세스는 원본 367,275개의 레코드로부터 734,550개의 합성 레코드를 생성하여, 데이터셋의 크기를 효과적으로 두 배로 늘리고 클래스 분포를 균형 있게 맞추었습니다.

주요 기여

1. 포괄적인 방법론: 클러스터 기반 접근 방식을 통해 피처 분포, 상관관계 및 트래픽 패턴의 다양성을 보존하는 합성 암호화 트래픽 생성용 혁신적인 프레임워크를 제시하였습니다.
2. 상관관계 인지 생성: 피처 간의 관계를 유지하는 특정 메커니즘을 통해, 합성 데이터가 독립적인 무작위 변수가 아닌 현실적인 네트워크 동작을 반영하도록 보장하였습니다.
3. 엄격한 평가 프레임워크: 다음의 이중 평가 전략을 결합하였습니다:
   • 통계적 충실도: Kolmogorov-Smirnov 테스트, 상관 행렬 비교, 그리고 커스텀 품질 대시보드(종합 품질 점수 88.2% 달성)를 사용하였습니다.
   • 예측 유용성: 합성 데이터로 훈련된 분류기가 실제 데이터로 테스트될 때의 성능을 평가하였습니다.
4. 오픈 리소스: 재현성과 추가 연구를 용이하게 하기 위해 전체 프로그래밍 코드와 품질 평가 대시보드를 제공합니다.

결과

연구는 세 가지 시나리오(Real→Real, Synthetic→Real, Mixed→Real) 하에서 XGBoost, Random Forest, Neural Network 모델을 훈련시켜 합성 데이터의 유용성을 평가하였습니다.

• 분류기 성능: 합성 데이터로 훈련된 모델은 실제 데이터로 테스트했을 때 실제 데이터 훈련 모델 성능의 최대 **93%**에 도달하였습니다.
  • 합성 데이터로 훈련된 XGBoost는 실제 테스트 데이터에서 93.1%의 정확도를 기록하였으며, 이는 실제 데이터 베이스라인의 99.8%와 비교됩니다.
• 패턴 보존:
  • 정상 트래픽: 합성 생성기는 정상 트래픽 패턴을 재현하는 데 매우 효과적이었으며, 클래스 0 예측에 대해 높은 정확도를 보였습니다.
  • 이상 탐지: 모델들이 우수한 성능을 보였으나, 이상 탐지(클래스 1)에 대한 정밀도(precision)에서 약간의 저하가 관찰되었습니다. 이는 주요 패턴은 포착되었으나, 실제 공격의 일부 미세한 특성을 합성적으로 재현하는 것은 여전히 도전 과제임을 시사합니다.
• 모델 민감도: 트리 기반 모델(XGBoost, Random Forest)은 신경망(Neural Networks)에 비해 합성 훈련 데이터에 대해 더 높은 강건성(robustness)을 보였습니다.
• 피처 중요도: 합성 데이터로 훈련된 모델은 실제 데이터로 훈련된 모델과 일관된 피처 중요도 패턴을 보였으며, 이는 핵심 피처(예: 흐름 지속 시간, 패킷 길이)의 변별력이 보존되었음을 확인시켜 줍니다.

의의 및 주장

본 논문은 제안된 방법론이 트래픽 피처의 통계적 무결성을 해치지 않으면서 사이버 보안 데이터의 고질적인 문제인 이상치 과소 표현 문제를 성공적으로 해결한다고 주장합니다.

• 실용적 유용성: 결과는 합성 데이터가 특히 실제 이상 샘플이 부족한 시나리오에서 실제 데이터를 보완하는 가치 있는 수단이 될 수 있음을 보여줍니다. 이는 머신러닝 모델의 일반화 능력을 향상시키는 균형 잡힌 데이터셋 생성을 가능하게 합니다.
• 트레이드오프 인정: 저자들은 데이터 프라이버시(합성 데이터를 통해 달성됨)와 최고 수준의 모델 성능 사이의 내재적인 트레이드오프를 겸허히 인정합니다. 합성 데이터로 훈련된 모델이 실제 데이터 훈련 모델의 성능을 완전히 따라잡지는 못했지만, 상당한 성능 유지율(최대 93%)은 이 접근 방식이 프라이버시 보호형 보안 연구를 위한 실행 가능한 솔루션임을 입증합니다.
• 향후 방향: 향후 연구에서는 생성된 이상치의 충실도를 더욱 높이기 위해 더 발전된 생성 모델(예: conditional GANs 또는 VAEs)을 탐색하고, 다양한 네트워크 환경 간의 합성 데이터 전이 가능성을 조사할 수 있음을 시사합니다.