Hybrid CNN-LSTM for Cyberattack Classification in Sudanese E-Government SDN

현대 사회에서 정부는 운영 방식을 점차 온라인으로 전환하며, 시민들이 물리적인 사무실을 방문하지 않고도 서비스를 이용하고, 세금을 납부하며, 기록을 조회할 수 있는 디지털 포털을 구축하고 있습니다. 이와 같은 변화로 알려진 전자정부(e-government)는 이러한 서비스를 필요로 하는 사람들과 연결하기 위해 복잡한 컴퓨터 네트워크에 크게 의존합니다. 이러한 네트워크를 더 빠르고 관리하기 쉽게 만들기 위해, 많은 곳에서 소프트웨어 정의 네트워킹(software-defined networking)이라는 새로운 아키텍처를 채택하고 있습니다. 이 방식은 데이터가 어디로 갈지 결정하는 '두뇌' 역할을 하는 부분과, 실제로 데이터를 이동시키는 '근육' 역할을 하는 부분을 분리합니다. 이는 시스템을 더 유연하게 만들지만, 공격자가 중앙의 두뇌를 속일 수 있다면 전체 시스템을 마비시킬 수 있다는 새로운 종류의 취약점을 만들어냅니다. 더욱이, 이러한 디지털 플랫폼이 성장함에 따라, 데이터를 훔치거나 서비스를 중단시키려는 정교한 사이버 공격의 표적이 됩니다. 금지된 도서 목록을 확인하는 사서처럼 이미 알려진 나쁜 패턴을 찾는 데 의존하는 전통적인 보안 시스템은, 새롭고 진화하는 속임수나 엄청난 양의 암호화된 트래픽을 포착하는 데 어려움을 겪는 경우가 많습니다. 이는 수백만 시민의 민감한 정보를 보호하는 데 있어 결정적인 공백을 남깁니다.

이러한 과제를 해결하기 위해, 수단의 연구진은 사이버 공격이 해를 끼치기 전에 이를 감지하도록 설계된 새로운 지능형 시스템을 개발했습니다. 수단 과학기술대학교의 라니아 엘셰이크하미드(Rania ElshiekhHamid)가 이끄는 연구팀은 국가의 특수한 디지털 환경에 맞는 맞춤형 솔루션이 필요하다는 점을 인식했습니다. 그들은 기존의 표준 보안 도구들이 수단의 정부 포털에서 발견되는 독특한 웹 트래픽과 네트워크 흐름의 혼합을 처리하기에는 충분하지 않다는 것을 알고 있었습니다. 대신, 그들은 구식 방법론에 의존하는 대신 하이브리드 딥러닝 모델을 구축했습니다. 이 시스템은 두 가지 강력한 인공지능 유형을 결합합니다. 하나는 카메라가 모양을 인식하는 것처럼 원시 데이터에서 패턴을 찾아내는 데 탁월한 유형이고, 다른 하나는 독자가 이야기의 흐름을 따라가는 것처럼 순서와 타이밍을 이해하는 데 능숙한 유형입니다. 이 두 가지 접근 방식을 병합함으로써, 시스템은 데이터 패킷의 즉각적인 내용과 해당 데이터가 도착한 이력을 모두 살펴볼 수 있으며, 이를 통해 정당한 시민의 요청과 악의적인 공격을 높은 정밀도로 구별할 수 있습니다.

연구진이 직면한 가장 큰 장애물은 실제 데이터의 부족이었습니다. 엄격한 개인정보 보호법과 국가 안보 문제 때문에, 그들은 시스템 학습을 위해 정부 서버의 실제 로그를 단순히 사용할 수 없었습니다. 이를 해결하기 위해, 그들은 개인 정보를 노출하지 않으면서도 실제 환경을 모방한 맞춤형 데이터셋을 생성했습니다. 그들은 세 가지 서로 다른 정보원을 결합하여 이 훈련장을 구축했습니다. 첫째, 시스템에 트래픽을 쏟아붓는 서비스 거부 공격(DoS)과 같은 일반적인 네트워크 공격 사례를 포함하는 글로벌 벤치마크를 사용했습니다. 둘째, 웹사이트에 해로운 코드를 주입하려는 시도와 같은 웹 기반 공격을 보여주기 위해 특별히 설계된 데이터셋을 포함했습니다. 마지막으로, 시뮬레이션을 진정으로 현지화하기 위해, 수단의 인프라에서 발견되는 특정 지연 시간과 라우팅 패턴을 포함하여 수단 정부의 네트워크와 똑같이 작동하는 인공 트래픽을 생성하는 컴퓨터 프로그램을 사용했습니다. 이 합성 데이터 덕분에 연구진은 현실적인 위협 모델을 바탕으로 모델을 훈련할 수 있었으며, 이를 통해 시스템이 배치되었을 때 제대로 작동할 수 있도록 보장했습니다.

모델 학습을 마친 후, 연구진은 자신들의 새로운 하이브리드 시스템이 기존 방식에 비해 얼마나 잘 공격을 식별하는지 테스트했습니다. 그들은 인간 전문가가 공격의 형태를 정의해야 하는 전통적인 머신러닝 도구 및 다른 단독 인공지능 모델들을 포함한 여러 기성 기술들과 자신들의 새로운 하이브리드 시스템을 비교했습니다. 결과는 명확했습니다. 새로운 하이브리드 모델은 97.8%의 전체 정확도를 달ink했으며, 이는 거의 모든 경우에 트래픽의 성격을 올바르게 식별했음을 의미합니다. 더 중요한 것은, 정당한 요청을 위험한 것으로 잘못 분류하는 오탐률(false alarm rate)을 1.5% 미만으로 매우 낮게 유지했다는 점입니다. 정부 서비스의 맥락에서 오탐은 심각한 문제입니다. 왜냐하면 시민이 자신의 데이터에 접근하거나 요금을 납부하는 것을 차단할 수 있기 때문입니다. 이 수치를 매우 낮게 유지함으로써, 시스템은 악의적인 행위자를 잡아내면서도 공공 서비스의 가용성을 보장합니다.

연구는 또한 시스템이 얼마나 빠르게 결정을 내릴 수 있는지에 대해서도 조사했습니다. 초당 수천 건의 요청을 처리하는 네트워크에서 보안 시스템이 느려진다면, 그것은 모든 것을 지연시키는 병목 현상이 될 것입니다. 연구진은 자신들의 모델이 단 하나의 데이터 조각을 분석하고 단 18.6밀리초 만에 예측을 수행할 수 있다는 것을 발견했습니다. 이 속도는 네트워크 컨트롤러의 실시간 요구 사항 내에 들어올 만큼 빠르며, 이는 정보의 흐름을 늦추지 않고도 공격이 발생하는 즉시 이를 차단할 수 있음을 의미합니다. 이 시스템은 특히 특정 유형의 위협에 효과적이었는데, 데이터베이스를 조작하려는 SQL 인젝션 시도와 서버를 압도하려는 분산 서비스 거부(DDoS) 공격을 98% 이상의 성공률로 정확히 식별해 냈습니다. 이러한 결과는 하이브리드 접근 방식이 이론적으로 타당할 뿐만 아니라, 핵심 국가 인프라를 보호하기 위해 실질적으로 실행 가능하다는 것을 시사합니다.

결과는 유망하지만, 연구진은 이것이 최종적인 해결책이 아니라 하나의 진전 단계임을 주의 깊게 언급하고 있습니다. 모델은 매우 현실적이지만, 실시간으로 진행 중인 정부 트래픽에서 직접 가져온 것이 아니라 환경을 시뮬레이션하기 위해 생성된 데이터셋에서 테스트되었습니다. 연구팀은 사이버 공격이 계속 진화함에 따라 시스템이 적응해야 한다는 점을 인정합니다. 향촉 연구에서 그들은 연합 학습(federated learning)이라 불리는 방법을 탐구할 계획입니다. 이 방식은 각 정부 기관이 민감한 원시 정보를 중앙 서버와 공유하지 않고도 각자의 로컬 데이터를 사용하여 보안 모델을 함께 학습할 수 있게 해줍니다. 이는 시민 데이터 처리에 적용되는 엄격한 개인정보 보호 및 보안 제약을 준수하면서도, 새로운 위협을 탐지하는 시스템의 능력을 더욱 강화할 것입니다. 현재로서는, 이 연구가 더 안전한 디지털 미래를 위한 강력한 토대를 제공하며, 수단의 전자정부 서비스의 무결성과 신뢰를 보호하는 데 도움이 될 수 있는 확장 가능하고 지능적인 기준점을 제시하고 있습니다.