SECURE Framework for Detecting Integrity Attacks in High-Frequency Trading Systems

디지털 세상에서 보안은 침입자를 막기 위해 설계된 벽을 가진 요새로 종종 상상되곤 합니다. 이러한 전통적인 관점은 세 가지 주요 기둥에 집중합니다. 즉, 비밀을 숨기고, 시스템이 온라인 상태를 유지하도록 보장하며, 내부의 정보가 전송된 그대로 유지되도록 하는 것입니다. 데이터를 비밀로 유지하고 시스템을 가동하는 상태로 두는 것은 잘 알려진 과제이지만, 종종 간과되는 더 미묘한 위험이 존재합니다. 바로 데이터 무결성에 대한 위협입니다. 시스템을 다운시키는 바이러스나 비밀번호를 훔치는 해커와 달리, 무결성 공격은 데이터를 직접 조용히 변조합니다. 기계를 멈추지 않으면서 여기저기에 숫자를 바꾸거나 기록을 수정합니다. 느리게 움직이는 시스템에서는 이러한 작은 변화가 해롭지 않을 수 있지만, 초당 수천 번의 결정이 내려지는 환경에서는 아주 작은 조작된 숫자 하나가 잘못된 행동의 연쇄 반응을 일으킬 수 있습니다. 이는 컴퓨터가 보이는 데이터를 바탕으로 눈 깜짝할 사이에 주식을 사고파는 고빈도 매매(high-frequency trading)에서 특히 두드러집니다. 만약 그 데이터가 약간 뒤틀린다면 시장 전체를 오도할 수 있지만, 시스템은 아무 일 없다는 듯 매끄럽게 작동하며 그 기만을 눈앞에서 숨겨버립니다.

인도의 드라카 도스 거버단 도스 바이슈나브 대학(Dwaraka Doss Goverdhan Doss Vaishnav College)의 연구자 S. 말라티(S. Malathy)와 R. 아난디(R. Anandhi)는 이러한 보이지 않는 조작을 잡아내기 위한 새로운 방법을 제안했습니다. 그들은 자신들의 접근 방식을 SECURE 프레임워크라고 부르며, 이는 데이터 스트림을 실시간으로 감시하고, 분석하고, 반응하도록 설계된 6단계 프로세스입니다. 이 이름은 감시(Surveillance), 조사(Examination), 제어(Control), 이해(Understanding), 대응(Response), 그리고 강화(Enhancement)를 의미합니다. 이 시스템은 마치 눈을 깜빡이지 않는 보안 카메라처럼 들어오는 데이터의 흐름을 끊임없이 지켜보는 것으로 시작합니다. 데이터가 수집되면, 데이터는 조사 단계로 이동하며, 여기서 패턴을 인식하도록 훈련된 컴퓨터 프로그램이 이상한 점을 찾아냅니다. 연구자들은 랜덤 포레스트(Random Forest)라는 특정 유형의 패턴 인식 도구를 선택했는데, 이는 여러 개의 서로 다른 결정 트리를 구축하고 각 트리에게 데이터 조각이 정상인지 의심스러운지를 투표하게 함으로써 작동합니다. 이 방식은 빠르고 혼란스러운 데이터의 노이즈가 많은 특성을 처리하는 데 특히 유용합니다.

하지만 무언가 잘못되었다는 것을 아는 것만으로는 충분하지 않습니다. 보안 전문가들은 '왜' 그런 일이 발생했는지 알아야 합니다. 이를 해결하기 위해 연구자들은 시스템에 설명 가능성(explainability) 계층을 추가했습니다. 그들은 SHAP이라는 기술을 사용했는데, 이는 마치 스포트라이트처럼 작용하여 컴퓨터가 왜 특정 이벤트를 의심스러운 것으로 분류했는지에 대한 구체적인 세부 사항을 비춰줍니다. 단순히 "이것은 나쁘다"라고 말하는 대신, 시스템은 어떤 가격 변동이나 주문 규모가 경보를 울렸는지 정확히 지목할 수 있습니다. 이러한 투명성은 인간 분석가가 기계의 판단을 신뢰하는 데 도움을 줍니다. 프레임워크는 이어 제어 단계로 넘어가 의심스러운 데이터를 차단하거나 표시할 수 있으며, 이후 알림을 보내고 기록을 보관하는 대응 단계로 이어집니다. 마지막으로, 시스템은 새로운 데이터로부터 배워 미래의 속임수를 더 잘 포착할 수 있도록 하는 강화 단계에 진입합니다.

이 아이디어가 실제로 작동하는지 테스트하기 위해 연구자들은 실제 시나리오인 주식 시장에 이를 적용했습니다. 그들은 주식의 가격, 수량, 시간을 포함하여 체결된 모든 매수 및 매도 주문을 기록하는 레벨 2 호가창(Level-2 order book) 데이터를 사용했습니다. 이 환경에서 그들은 스푸핑(spoofing)과 레이어링(layering)으로 알려진 두 가지 흔한 시장 조작 유형을 시뮬레이션했습니다. 스푸핑은 트레이더가 매수할 의도 없이 대규모 주문을 넣어 수요가 있는 것처럼 보이게 하여 타인을 속이는 행위입니다. 레이어링은 인위적인 압력을 만들기 위해 서로 다른 가격대에 여러 주문을 배치하는 것을 포함합니다. 두 전술 모두 거래 시스템을 실제로 중단시키지 않으면서 데이터를 변경하여 시장에 영향을 미치므로, 무결성 공격의 완벽한 예시가 됩니다. 연구자들은 이러한 조작들을 '나쁜' 데이터로, 정상적인 거래를 '좋은' 데이터로 취급한 뒤 모든 것을 SECURE 프레임워크에 입력했습니다.

결과는 이 새로운 시스템이 표준 컴퓨터 모델 단독보다 이러한 속임수를 잡아내는 데 훨씬 더 뛰어나다는 것을 보여주었습니다. 연구자들이 전체 SECURE 프레임워크 없이 기본 패턴 인식 도구만을 테스트했을 때는 공격의 약 91.84%를 정확히 식별했습니다. 하지만 제어 및 설명 도구를 포함한 전체 SECURE 구조를 추가했을 때, 정확도는 96.82%까지 올라갔습니다. 시스템은 정상적인 거래에 대한 오류를 줄이면서 실제 공격을 찾는 능력이 훨씬 향상되었습니다. 데이터 분석 결과, 시스템은 올바른 부분에 주목하고 있음이 드러났습니다. 시스템은 급격한 가격 변동, 이례적인 주식 수량, 특정 가격대의 거래량 급증이 조작의 가장 강력한 신호라는 것을 학습했습니다. 이는 인간 트레이더가 찾아내는 것과 정확히 일치하는 행동들로, 컴퓨터가 단순히 추측하는 것이 아니라 논리적인 패턴을 인식하고 있음을 증명합니다.

이 연구가 특히 가치 있는 이유는 공격자가 다음에 무엇을 할지 정확히 알 필요가 없기 때문입니다. 알려진 나쁜 행동의 목록을 찾는 대신, 시스템은 데이터 속에 담긴 거짓말의 일반적인 형태를 포착하는 법을 배웁니다. 이는 프레임워크가 주식 시장에만 국한되지 않음을 의미합니다. 연구자들은 동일한 방법이 스마트 시티의 센서 네트워크나 환자를 실시간으로 모니터링하는 의료 기기와 같은 다른 빠르게 움직이는 시스템을 보호하는 데 사용될 수 있다고 제안합니다. 데이터가 빠르게 흐르고 작은 변화가 큰 영향을 미칠 수 있는 모든 곳에서, 미묘한 조작을 탐지하는 능력은 매우 중요합니다. 빠른 패턴 인식 도구와 자신의 사고 과정을 설명하는 방법을 결려함으로써, SECURE 프레임워크는 고속 시스템의 정직함을 유지하는 길을 제시합니다. 이는 데이터를 보호하는 경주에서 핵심은 단순히 소음을 감시하는 것이 아니라, 데이터가 들려주는 이야기를 이해하는 것임을 보여줍니다.