Digital Twin Degradation: Detecting Cyber Physical Attacks via Temporal Inconsistencies

현대 산업은 물리적 세계와 디지털 세계 사이의 섬세한 춤으로 운영됩니다. 공장, 수처리 시설, 전력망은 센서가 현실 세계의 상태를 측정하고 컴퓨터가 그 측정값을 바탕으로 결정을 내리는 복잡한 시스템에 의해 관리됩니다. 이러한 시스템을 안전하고 효율적으로 유지하기 위해 엔지니어들은 점점 더 '디지털 트윈(Digital Twin)'이라 불리는 도구를 사용합니다. 디지털 트윈을 과거의 행동 방식을 바탕으로 실제 기계가 다음에 무엇을 해야 하는지를 끊임없이 예측하는 컴퓨터 프로그램인, 물리적 기계의 가상 거울이라고 생각하십시오. 만약 실제 기계와 가상의 거울이 일치한다면 모든 것이 원활하게 작동하고 있는 것입니다. 하지만 실제 기계가 이상하게 작동하기 시작하면, 거울은 불일치를 보여줌으로써 운영자에게 문제를 알릴 것입니다.

수년 동안 보안 전문가들은 공격자가 센서나 이 가상 거울로 흘러 들어가는 데이터를 조작할 경우, 거울이 제대로 작동하지 않을 수 있다는 점을 우려해 왔습니다. 지배적인 공포는 저하되거나 고장 난 디지털 트윈은 더 이상 진실을 말한다고 신뢰할 수 없기 때문에 보안 측면에서 무용지물이 될 것이라는 것이었습니다. 그러나 노르웨이 과학기술대학교 연구진의 새로운 연구는 놀라운 반전을 제시합니다. 약간 고장 난 거울이 완벽한 거울보다 오히려 도둑을 더 잘 잡아낼 수도 있다는 것입니다. 연구진은 데이터 지연이나 누락으로 인해 디지털 트윈이 물리적 시스템을 따라가는 데 어려움을 겪는 바로 그 행위가, 공격이 발생하고 있음을 드러내는 독특한 오류 패턴을 생성한다고 제안합니다.

연구팀은 공격이 어떤 모습인지 미리 알 필요가 없는 탐지 시스템을 구축함으로써 이 아이디어를 테스트하기 위해 나섰습니다. 대신, 그들은 컴퓨터 모델이 오직 시스템이 정상적으로 작동할 때 어떻게 행동하는지만을 이해하도록 학습시켰습니다. 연구진은 수처리 테스트베드, 일반 산업 제어 설정, 그리고 시뮬레이션된 용수 공급 네트워크에서 얻은 역사적 데이터를 이 모델에 입력했습니다. 모델은 직전의 상황을 바탕으로 시스템의 다음 몇 순간의 행동을 예측하는 법을 배웠습니다. 완벽한 세상이라면 모델의 예측은 실제 센서 측정값과 정확히 일치할 것입니다. 그러나 현실 세계에서는 데이터가 늦게 도착하거나 손실되는 경우가 빈번하며, 이로 인해 모델은 작은 실수를 저지르게 됩니다. 연구진은 이러한 실수들을 실패가 아닌 단서로 취급했습니다.

그들의 방법의 핵심은 예측 오류가 시간이 지남에 따라 어떻게 변하는지를 관찰하는 데 있습니다. 시스템이 정상적으로 작동할 때, 데이터 지연이 있더라도 오류는 작고 무작위적이며 일시적입니다. 오류는 잠시 치솟았다가 다시 안정될 수 있습니다. 하지만 사이버-물리 공격(공격자가 센서나 제어 밸브를 조작하여 물리적 손상을 입히려는 공격)이 발생하면 오류는 다르게 행동합니다. 공격이 실제 시스템을 예상 경로에서 벗어나게 함에 따라, 오류는 지속적이고 커지며 더 오래 지속됩니다. 연구진은 이러한 지속적인 괴리 패턴을 찾는 시스템을 설계했습니다. 이 시스템은 고립된 노이즈의 급증을 무시하고, 예측과 실제 사이의 불일치가 계속해서 쌓이는지를 지켜봅니다.

이 접근 방식이 효과가 있는지 확인하기 위해, 연구진은 네트워크 지연이나 누락된 데이터 패킷과 같은 실제 세계의 문제를 시뮬레이션하기 위해 디지털 트윈을 의도적으로 저하시킨 여러 조건 하에서 테스트를 진행했습니다. 그 결과, 디지털 트윈이 완벽하게 작동하지 않더라도 시스템이 매우 효과적이라는 것을 발견했습니다. 수처리 데이터셋에서 이 방법은 35건의 모든 개별 공격 사건을 성공적으로 식별해 냈습니다. 산업 제어 데이터셋에서는 50건의 공격 중 49건을 탐지했습니다. 초기에는 어려움을 겪었던 용수 공급 데이터셋에서도 특정 유형의 데이터 지연을 도입하자 탐지율이 40%에서 80%로 상승하며 더 많은 공격을 포착하는 데 도움이 되었습니다.

중요한 발견 중 하나는 시스템이 단순한 글리치(glitch)와 실제 위협을 구분할 수 있다는 점이었습니다. 정상 작동 시 시스템은 매우 적은 수의 거짓 알람을 생성했으며, 다양한 테스트 전반에 걸쳐 오류율은 2% 미만으로 유지되었습니다. 이는 운영자가 존재하지 않는 문제에 대한 경고로 인해 업무가 마비되어서는 안 되는 산업 현장에서 매우 중요합니다. 또한 시스템은 빠르게 반응하여, 일반적으로 공격 시작 후 수십 초 이내에 이를 식별해 냈으며, 이는 인간 운영자가 상당한 피해가 발생하기 전에 개입할 수 있을 만큼 충분히 빠른 속도입니다. 연구진은 자신들의 방법이 공격의 구체적인 특징을 미리 알 필요가 없음을 강조했습니다. 시스템은 단순히 물리적 세계와 그 디지털 그림자 사이의 부자연스러운 지속성을 찾아낼 뿐입니다.

이 연구는 디지털 트윈의 성능 저하를 순수하게 부정적인 요인으로 보는 전통적인 관점이 불완전할 수 있음을 시사합니다. 저하된 뷰(view)는 분명 불확실성을 유발하지만, 동시에 공격자가 숨기기 어려운 특정한 유형의 시간적 불일치를 만들어냅니다. 만약 공격자가 시스템을 정상처럼 보이게 조작하려 한다면, 저하된 디지털 트윈의 복잡하고 지연되며 노이즈가 섞인 행동을 완벽하게 모방해야 하는데, 이는 수학적으로 지속하기 매우 어려운 작업입니다. 연구진은 단일 실수의 크기보다는 오류의 시간적 진화에 초점을 맞춤으로써, 데이터 손실과 정교한 사이버-물리 공격 모두에 강한 도구를 만들었습니다.

이 작업은 우리가 핵심 인프라를 어떻게 보호할 것인가에 대한 새로운 관점을 제공합니다. 완벽하고 깨지지 않는 디지털 거울을 만드는 대신, 엔지니어들은 실제 세계의 통신에서 발생하는 자연스러운 마찰과 지연을 보안 기능으로 활용할 수 있을지도 모릅니다. 연구 결과는 물리적 시스템과 예측 모델 사이의 관계를 모니터링하는 것이 신뢰할 수 있고 비용이 적게 드는 방어 계층을 제공할 수 있음을 나타냅니다. 시스템이 정상적인 행동을 바탕으로 학습된다면, 데이터가 불완전하더라도 미묘하고 지속적인 공격의 징후를 포착할 수 있습니다. 이 접근 방식은 모든 데이터 오류를 방지하려고 노력하는 것에서 벗어나, 오류의 패턴을 사용하여 무엇이 정말 잘못되었는지를 밝혀내는 데 초점을 맞춥니다.