A Security State Awareness Method for Petrochemical Industrial Control Network Equipment Based on Deep Learning

기술 요약: 딥러닝 기반 석유화학 산업 제어 네트워크 장비의 보안 상태 인지 방법

문제 정의
석유화학 산업에서 산업 제어 네트워크 장비와 비즈니스 프로세스의 통합은 실시간 모니터링을 위한 방대한 데이터를 생성했지만, 동시에 심각한 보안 취약점을 초래했습니다. 액세스 제어 및 기본적인 위협 인지와 같은 전통적인 보안 조치는 현대 석유화학 시스템의 복잡한 하이브리드 아키텍처에 대응하기에 불충분합니다. 이러한 시스템은 기존 프로토콜에 악용 가능한 취약점이 포함된 빈번한 보안 사고에 직면해 있습니다. 핵심 과제는 동적이고 연속적인 운영 환경 내에서의 높은 상황 인지 복잡성과 보안 정보 전송의 지연에 있습니다. 결과적으로, 진화하는 네트워크 위협에 맞서 산업 제어 네트워크 장비의 안정적인 운영을 보장하기 위해 핵심 보안 상태 특징을 효과적으로 추출하고, 오경보율을 줄이며, 인지 정확도를 향提高할 수 있는 방법이 절실히 필요합니다.

방법론
이러한 과제를 해결하기 위해, 저자들은 TCN-MGRU(Temporal Convolutional Network과 Multi-layer Gate Recursive Units의 결려)라고 불리는 하이브리드 모델을 중심으로 한 딥러닝 기반 보안 상태 인지 체계를 제안합니다.

1. 보안 상태 인지 모델 정식화:
   저자들은 먼저 상황적 요소들을 두 가지 차원으로 분류하여 수학적 프레임워크를 정의합니다.

   • 외부 상황적 요인: 포트 트래픽 정보($O^{exPot}$) 및 로그 이벤트 정보($O^{exLog}$)를 포함합니다.
   • 공격 위협: 알려진 공격 동작($O^{At}$)으로 모델링됩니다.
     목표는 낮은 처리 비용을 유지하면서 비정상 포트, 이벤트 및 공격적 행위에 대한 인지 오류율을 최소화하는 것으로 정식화됩니다.

2. TCN-MGRU 아키텍처:

   • Temporal Convolutional Network (TCN): 이 구성 요소는 합성곱 층(convolutional layers)을 활용하여 산업 제어 데이터의 특징 서브셋으로부터 시공간적 구조적 특성을 추출합니다. 이는 차원 축소를 위해 맥스 풀링(max pooling)을 사용하고, 과적합을 방지하기 위해 드롭아웃(dropout) 기법을 채택하여 템포럴 특징 학습 능력을 강화합니다.
   • Multi-layer Gate Recursive Units (MGRU): GRU를 기반으로 하는 이 구성 요소는 전통적인 RNN에서 흔히 발생하는 그래디언트 소실 및 폭주 문제를 해결합니다. 리셋 게이트(reset gate)와 업데이트 게이트(update gate)를 사용하여 장기 시퀀스 정보를 보존하고 잔차 메모리를 관리함으로써, 비선형 시계열 데이터를 처리하는 데 적합하게 설계되었습니다.
   • 잔차 분류 (Residual Classification): 모델은 측정된 데이터와 예측값 사이의 예측 잔차($\Re^p_t$)를 계산합니다. 이 잔차는 웨이브릿 변환(wavelet transform) 기반의 합성곱 및 풀링을 포함하는 분류 네트워크를 통해 처리됩니다. 이 접근 방식은 맹목적인 파라미터 반복을 대신하여 사전 정의된 다해상도 분석(multiresolution analysis)을 도입함으로써 특징 추출 및 분류 정확도를 개선합니다.

주요 기여

• 제안된 모델: 석유화학 산업 제어 네트워크의 동적이고 연속적인 상황 공간에 특화되어 설계된 TCN-MGRU 하이브리드 모델을 개발하였습니다.
• 하이브리드 특징 학습: 공간적 특징 추출을 위한 TCN과 템포럴 시퀀스 모델링을 위한 MGRU의 통합을 통해, 시스템은 처리 과정에서 중요한 데이터 특성을 손실하지 않으면서 통계적 및 템포럴 보안 특징을 모두 학습할 수 있습니다.
• 새로운 분류 방법: CNN 잔차 분류 레이어 내에서 웨이브릿 변환 원리를 활용한 실시간 분류 방법을 설계하여 보안 상태를 탐지하고 분류합니다.
• 오류율 최소화: 다양한 차원(포트, 로그, 공격)에 걸쳐 인지 오류율을 명시적으로 최소화하는 것을 목표로 하는 보안 인지 문제를 정식화하였습니다.

실험 결과
제안된 방법은 7가지 유형의 공격을 포함하여 270,000개 이상의 데이터 포인트를 가진 산업 보안 표준 벤치마크인 Gas 데이터셋을 사용하여 평가되었습니다. TCN-MGRU 모델은 D-GRU, SATIDS, CBRNN을 포함한 베이스라인 모델들과 비교되었습니다.

• 성능 지표: TCN-MGRU는 정확도(Accuracy), 재현율(Recall), 정밀도(Precision) 및 F1 스코어 전반에서 모든 베이스라인 모델을 능가했습니다.
  • MFCI (Multi-Feature Class Injection) 공격 유형에서, TCN-MGRU는 **98.77%**의 최고 정확도와 0.9776의 F1 스코어를 달성했습니다.
  • Normal 데이터셋에서 **98.75%**의 정확도를 달로 달성했습니다.
  • TCN-MGRU의 매크로 평균 지표는 각각 약 0.9589(정확도), 0.9605(재현율), 0.9685(정밀도), 0.9619(F1)였습니다.
• 강건성(Robustness): 모델은 공격 진폭이 증가함에 따라 우수한 성능을 입증했습니다. 작은 공격 주입 규모(0.05%)의 시나리오에서도 모델은 85% 이상의 인지 정확도를 유지했으며, 오인식률(FAR)은 8% 미만, 오거부율(FRR)은 6.8% 미만을 기록했습니다.
• AUC 분석: TCN-MGRU의 AUC(Area Under the Curve) 값은 테스트된 모든 공격 유형(NMRI, CMRI, MSCI, MPCI, MFCI, DoS, Recon)에서 지속적으로 1에 근접하였으며, 이는 무작위 추측보다 현저히 뛰어난 성능을 나타냅니다.

의의 및 주장
본 논문은 TCN-MGRU 체계가 석유화학 산업 제어 네트워크 장비의 보안 보호를 위한 강력한 지원을 제공한다고 주장합니다. 상황 인지의 높은 복잡성과 동적 환경의 과제를 해결함으로써, 이 방법은 다음을 가능하게 합니다:

• 실시간 모니터링: 보안 상태를 실시간으로 처리하고 이해할 수 있는 능력을 갖추어 잠재적 위협에 대한 적시 대응을 용이하게 합니다.
• 탐지 능력 강화: 특히 전통적인 방법들이 실패하는 복잡한 환경에서 실제 보안 시나리오를 식별, 인식, 분석 및 대응하는 능력을 향상시킵니다.
• 적응성: 모델은 도전적인 보안 환경에서도 적응형 성능을 보여주며, 오경보를 줄이고 산업 제어 시스템의 전반적인 신뢰성을 높입니다.

저자들은 이러한 딥러닝 기반 접근 방식이 고정밀 보안 상황 인지를 달성하기 위한 실행 가능한 솔루션을 제공하며, 이를 통해 석유화학 생산 시스템의 안전하고 안정적인 운영을 지원한다고 결론짓습니다.