NIMSAFE: Status-Aware IoT Device Fingerprinting Using Self-Training and Explainable Models

현대 가정에서는 조용한 혁명이 일어났습니다. 한때 단순히 단일 작업만을 수행하던 기기들이 이제는 우리의 일정을 학습하는 스마트 온도 조절기부터 문 앞을 지키는 카메라에 이르기까지 인터넷에 연결되고 있습니다. 사물인터넷(IoT)이라고 알려진 이 연결된 사물들의 네트워크는 편리함을 제공하지만, 동시에 복잡한 보안 과제를 안겨줍니다. 이러한 기기들은 매우 다양하고 종종 제한된 컴퓨팅 성능으로 작동하기 때문에, 관리하기 어렵고 심지어 해킹당하기도 더 쉽습니다. 해커가 이러한 기기 그룹의 제어권을 장악하면, 이들을 네트워크를 압도하거나 데이터를 훔칠 수 있는 거대하고 보이지 않는 군대로 변모시킬 수 있습니다. 이를 막기 위해 보안 전문가들은 네트워크에서 대화 중인 기기가 정확히 어떤 종류인지, 그리고 정상적으로 작동하고 있는지 알아내야 합니다. 하지만 이러한 기기들을 식별하는 것은 까다롭습니다. 기기의 행동은 그들이 무엇을 하고 있는지에 따라 달라지기 때문입니다. 예를 들어, 카메라는 처음 전원이 켜졌을 때, 유휴 상태일 때, 그리고 실제로 영상을 녹화하고 있을 때 네트워크상에서 완전히 다르게 보일 수 있습니다.

달하우지 대학교와 솔라나 네트웍스(Solana Networks)의 연구진은 NIMSAFE라는 새로운 시스템을 개발하여 이 문제를 해결하고자 했습니다. 모든 기기를 하나의 경직된 범주로 강제 분류하는 대신, 그들의 접근 방식은 기기의 현재 상태에 세심한 주의를 기울입니다. 연구진은 커피 메이커, 초인종, 보안 카메라를 포함한 아홉 가지 유형의 현대적 스마트 기기를 관찰하였고, 이들의 네트워크 트래스크를 세 가지 뚜렷한 모드, 즉 전원이 켜지는 순간, 유휴 상태, 그리고 활발히 사용 중인 상태로 기록했습니다. 통신 과정에서 남겨지는 이 기기들의 디지털 발자국을 분석함으로써, 연구팀은 기기 유형뿐만 아니라 해당 기기가 정상적으로 작동하는지 아니면 봇넷이나 서비스 거부 공격에 의해 침해되었는지까지 식별할 수 있는 머신러닝 모델을 구축했습니다.

연구진은 기기의 상태가 매우 중요하다는 것을 발견했습니다. 기기가 활발히 사용 중인 데이터로 시스템을 훈련했을 때, 모델은 기기가 시작되거나 유휴 상태일 때의 데이터로 훈련했을 때보다 훨씬 더 우수한 성능을 보였습니다. 이는 기기가 실제 직무를 수행할 때 가장 복합적이고 독특한 통신 패턴이 발생한다는 것을 시사합니다. 시스템의 견고함을 보장하기 위해, 연구진은 다양한 머신러닝 알고리즘을 대상으로 테스트를 진행했습니다. 그들은 많은 단순 결정 트리의 결정을 결합하여 작동하는 '랜덤 포레스트(Random Forest)'라는 방법이 다른 일반적인 기술들보다 훨씬 뛰어나다는 것을 발견했습니다. 다른 모델들이 서로 다른 기기를 구별하는 데 어려움을 겪거나 특정 유형의 하드웨어를 아예 인식하지 못했던 반면, 랜덤 포레스트 방식은 모든 기기 유형과 운영 상태에 걸쳐 높은 정확도를 유지했습니다.

이 분야의 주요 장애물은 라벨링된 데이터의 부족입니다. 컴퓨터가 위협을 인식하도록 훈련시키려면, 전문가들이 보통 정상적인 트래픽과 악성 트래픽의 수천 가지 사례에 수동으로 태그를 달아야 하는데, 이는 느리고 비용이 많이 드는 과정입니다. NIMSAFE 시스템은 '자기 학습(self-training)'이라는 기술을 사용하여 이 문제를 해결합니다. 연구진은 전체 수집 데이터의 20%에 불과한 적은 양의 라벨링된 데이터로 시작하여, 모델이 나머지 라벨링되지 않은 데이터를 사용하여 스스로 학습하도록 했습니다. 놀랍게도, 알려진 사례의 이 작은 부분만으로 훈련된 시스템은 전체 데이터셋으로 훈련된 시스템과 거의 대등한 성능을 보였습니다. 이 결과는 전문가가 데이터를 라벨링하는 데 투입할 시간이 매우 적더라도, 모델이 스스로 높은 신뢰도로 나머지를 학습할 수 있기 때문에 보안 시스템을 효과적으로 배치할 수 있음을 시사합니다.

연구팀은 또한 자신들의 시스템이 왜 가끔 실수를 하는지 이해하기 위해 인공지능이 결정을 내리는 과정을 설명하도록 설계된 도구들을 사용했습니다. 모델 내부를 들여다본 결과, 시스템이 데이터 패킷이 이동하는 방식에 관한 구체적인 세부 사항, 즉 전송되는 데이터의 크기, 연결 타이밍, 그리고 기본 통신 프로토콜에서 사용되는 특정 설정 등에 크게 의존하고 있다는 것을 발견했습니다. 이러한 통찰은 시스템이 무작위로 추측하는 것이 아니라, 네트워크 트래픽의 구체적이고 측정 가능한 특징들을 바탕으로 결정을 내리고 있다는 것을 보여주었습니다. 최종 테스트에서 연구진은 정상적인 기기 활동과, 정상적인 트래픽처럼 위장하여 숨어드는 정교한 봇넷을 포함한 공격을 구분하도록 시스템에 도전 과제를 부여했습니다. 시스템은 거의 99.9%의 정확도로 성공하였으며, 대다수의 위협을 정확히 식별해 냈습니다. 발생한 아주 적은 비율의 오류는 모델의 실패 때문이 아니라, 일부 악성 트래픽이 정상적인 기기 행동과 너무 유사하여 가장 진보된 도구들조차 구분이 거의 불가능했기 때문이었습니다.

이 연구는 사물인터넷을 보호하기 위해서는 기기를 정적인 객체가 아니라 끊임없이 행동이 변하는 동적인 시스템으로 바라봐야 함을 입증합니다. 기기가 전원이 켜질 때, 유휴 상태일 때, 그리고 활성화되었을 때 어떻게 행동하는지에 집중하고, 인간의 감독을 덜 필요로 하는 스마트 학습 기술을 사용함으로써, 정확하면서도 실용적인 보안 시스템을 구축하는 것이 가능합니다. 이 결과는 미래의 보안 도구들이 보호 대상 기기의 변화하는 상태에 적응할 수 있는 유연성을 갖추어야 하며, 정상적인 행동 패턴 자체를 활용하여 미세한 공격의 징후를 포착해야 함을 시사합니다.