Solving the Cross-Sector Generalization Gap: A Generalizable AI Framework for Detecting Known and Unseen Cyberattacks in Critical Infrastructure

현대 세계는 기계와 네트워크라는 거대하고 보이지 않는 신경계 위에서 움직이고 있습니다. 우리의 수도꼭지를 깨끗하게 유지하는 수처리 시설부터 도시의 불을 밝히는 전력망, 열차를 움직이는 철도, 대양을 항해하는 선박, 그리고 제품을 생산하는 공장에 이르기까지, 이러한 시스템들은 운영 기술(Operational Technology)에 의존합니다. 이는 물리적 과정을 모니터링하고 제어하는 특화된 소프트웨어와 하드웨어를 의미합니다. 수십 년 동안 보안 전문가들은 이러한 각 분야를 별개의 섬처럼 취급해 왔습니다. 그들은 수처리 시설을 위해 맞춤형 방어 체계를 구축하고, 전력망을 위해 또 다른 방어 체계를 구축했으며, 철도를 위해 또 다른 체계를 구축했습니다. 이는 한 산업의 센서가 사용하는 고유한 언어를 다른 산업을 위해 설계된 시스템이 이해할 수 없다고 가정했기 때문입니다. 이러한 접근 방식은 상호 연결된 세상을 보호하기 위해 작업마다 서로 다른 도구가 필요한 파편화된 지형을 만들어냈으며, 이러한 시스템들이 더욱 긴밀하게 연결됨에 따라 비용이 많이 들고 확장이 어려운 방식을 초과하게 만들었습니다.

국제 이슬람 대학교 치타공(International Islamic University Chittagong)의 연구팀은 이러한 오랜 가설에 도전했습니다. 그들은 단순하지만 심오한 질문을 던졌습니다. 단 하나의 인공지능 시스템이 특정 산업을 본 적이 없더라도, 모든 서로 다른 산업에 걸쳐 사이버 공격의 보편적인 징후를 인식하는 법을 배울 수 있을 것인가? 그들의 연구는 그 답이 '예'임을 시사합니다. 컴퓨터 모델이 특정 센서의 이름이 아니라 데이터의 행동 양식에 주목하도록 훈련함으로써, 그들은 다섯 가지 서로 다른 핵심 인프라 분야에서 알려진 공격과 처음 보는 새로운 위협을 모두 포착할 수 있는 통합된 탐지기를 만들어냈습니다. 결과는 하나의 적응형 시스템이 결국 전문화된 탐지기 군단을 대체하여, 사회가 의존하는 필수 서비스들을 보호하는 데 있어 더 효율적이고 이해하기 쉬운 방법을 제공할 수 있음을 나타냅니다.

연구진은 다섯 가지 다양한 분야에 집중했습니다: 수처리 및 폐수 처리, 전기 전력망, 철도 신호, 해상 항행, 그리고 산업 제조입니다. 현실 세계에서 이 시스템들은 서로 다른 언어를 사용합니다. 수처리 시설은 압력이나 수질 투명도를 모니터링할 수 있고, 전력망은 전압과 주파수를 추적합니다. 철도 시스템은 브레이크 압력과 열차 속도를 감시하며, 선박은 엔진 속도와 러더(rudder) 각도를 모니터링합니다. 전통적으로 수처리 데이터로 훈련된 인공지능는 전력망에 있어서는 무용지물이었는데, 그 이유는 전력망에서 다루는 구체적인 수치들을 이해하지 못하기 때문입니다. 연구진은 센서의 이름은 다르더라도, 기계가 공격을 받을 때 보이는 행동 방식에는 공통된 패턴이 있을 수 있다는 점에 주목했습니다.

이를 테스트하기 위해 그들은 각 분야의 원시 데이터를 공통의 단순화된 언어로 번역하는 프레임워크를 구축했습니다. 컴퓨터에 원시 센서 값을 그대로 입력하는 대신, 그들은 매 시간 구간마다 통계적 요약 세트를 계산했습니다. 숫자가 얼마나 빨리 변하는지, 얼마나 많이 요동치는지, 그리고 값들이 얼마나 넓게 퍼져 있는지를 살펴보았습니다. 이러한 요약값들은 모든 분야에 대해 단일하고 고정된 숫자 목록을 생성하였으며, 이를 통해 물이나 전기의 구체적인 어휘를 제거하고 오직 데이터의 수학적 형태만을 남겼습니다. 이를 통해 그들은 하나의 단일한 컴퓨터 모델(의사결정 시스템의 일종인 랜덤 포레스트, Random Forest)을 다섯 개 분야의 데이터를 사용하여 동시에 훈련시킬 수 있었습니다.

연구팀은 이 단일 모델이 진정으로 일반화될 수 있는지 확인하기 위해 엄격한 일련의 테스트를 거쳤습니다. 먼저, 훈련된 분야 내에서 공격을 탐지할 수 있는지 확인했습니다. 모델은 수처리, 전력, 철도, 해상, 산업 시스템에서 약 79%에서 86% 사이의 정확도로 공격을 정확히 식별하는 데 성공했습니다. 이는 모델이 각 산업의 미묘한 차이를 학습할 수 있음을 증명했습니다. 하지만 진짜 시험은 그 지식을 전이(transfer)할 때 찾아왔습니다. 그들은 모델을 네 개의 분야에 대해 훈련시킨 후, 한 번도 본 적 없는 다섯 번째 분야의 공격을 식별하도록 했습니다. 놀랍게도 모델은 이 새로운 환경에서도 80%에서 86% 사이의 정확도를 달성하며 준수한 성능을 보였습니다. 이는 시스템이 단순히 특정 산업의 센서 이름을 암기한 것이 아니라, 공격의 근본적인 논리를 학습했음을 입증했습니다.

가장 중요한 발견 중 아마도 시스템의 미지의 공격 탐지 능력일 것입니다. 사이버 보안의 세계에서 가장 위험한 위협은 방어자들에게 알려지지 않은 새로운 위협인 '제로 데이(zero-day)' 공격입니다. 연구진은 훈련 데이터에서 특정 유형의 은밀한 공격을 완전히 제외한 채 모델을 테스트했습니다. 그들이 이 보이지 않는 공격을 모델에 제시했을 때, 모델은 여 still 높은 신뢰도로 이를 식별해냈으며 82% 이상의 탐지율을 기록했습니다. 이는 모델이 해당 트릭을 직접 본 적이 없더라도, 사이버 침입의 특징인 미묘하고 불규칙한 행동을 인식하는 법을 배웠음을 시사합니다.

또한 연구진은 중요한 운영상의 문제, 즉 악의적인 사이버 공격과 단순하고 무해한 기계적 결함을 구분하는 문제를 다루었습니다. 과거의 보안 시스템은 노후화로 인해 드리프트(drift)가 발생한 센서나 마모된 모터를 의도적인 공격으로 오인하여, 신뢰를 떨어뜨리는 허위 경보를 울리곤 했습니다. 그들의 프레 lack은 사이버 공격과 물리적 결함을 약 90%의 정확도로 구분해 낼 수 있었습니다. 이는 매우 중요한 능력으로, 운영자가 일상적인 장비 마모에 주의를 빼앗기지 않고 실제 위협에만 집중할 수 있도록 보장합니다.

마지막으로, 연구팀은 이 시스템이 이유를 설명하지 않고 답만 내놓는 '블랙박스'가 되지 않도록 했습니다. 그들은 모델이 결정을 내릴 때 어떤 통계적 특징에 가장 많이 의존하는지 분석했습니다. 그들은 시스템이 주로 '변화율의 변동성(volatility of the rate of change)', 즉 데이터가 얼마나 급격하고 격렬하게 요동치는지에 의해 구동된다는 것을 발견했습니다. 이는 사이버 공격이 흔히 매끄럽고 예측 가능한 기계 데이터의 흐름을 방해하여 갑작스럽고 불규칙한 스파이크를 일으킨다는 점에서 직관적으로 타당합니다. 모델이 이러한 명확하고 이해 가능한 통계적 규칙을 기반으로 구축되었기 때문에, 보안 운영자는 왜 경보가 발생했는지 정확히 알 수 있으며, 이는 신비로운 라벨링이 아닌 투명한 증거의 궤적을 제공합니다.

이 연구에는 한계점도 존재합니다. 시스템을 훈련하고 테스트하는 데 사용된 데이터는 실제 운영 네트워크에서 온 것이 아니라, 현실 세계의 물리학을 모방하도록 설계된 컴퓨터 시뮬레이션에 의해 생성되었습니다. 시뮬레이션이 현실적인 노이즈와 복잡성을 포함하도록 정교하게 제작되기는 했으나, 연구진은 실제 세계의 시스템이 시뮬레이션이 완전히 포착할 수 없는 추가적인 불확실성 층을 가지고 있음을 인정합니다. 또한 현재의 시스템은 결정에 대한 일반적인 설명을 제공하지만, 아직 개별적인 경보 하나하나에 대한 구체적인 추론 과정까지 설명하지는 못한다고 언급했습니다. 그럼에도 불구하고, 이 결과는 핵심 인프라 보안의 미래에 대한 설득력 있는 비전을 제시합니다. 새로운 산업이나 새로운 유형의 센서마다 새로운 맞춤형 방어 체계를 구축하는 대신, 단 하나의 적응형 지능이 기계 행동의 보편적인 언어를 학습하여 우리의 물, 전력, 운송, 그리고 산업을 통합적이고 투명하며 효과적인 방패로 보호할 수 있을 것입니다.