💻 computer science

A Dynamic Explainable AI FrameworkforReal-Time Intrusion Detection andAutomatedAlert Prioritization in Security OperationCenters

본 논문은 고정밀 침입 탐지를 달성하고, 중요 사건의 우선순위를 지정함으로써 분석가의 경보 피로도를 획기적으로 줄이며, 보안 운영 센터(SOC) 환경을 위해 투명한 실시간에 가까운 근거를 제공하기 위해 시계열 트랜스포머(Transformers), 그래프 합성곱 신경망(Graph Convolutional Networks), 그리고 사후 설명 가능성(post-hoc explainability) 기법을 통합한 3단계 파이프라인인 동적 설명 가능 프레임워크(Dynamic Explainable Framework, DEF)를 제안한다.

원저자: Muhammad Usama Nazir, Asri Bin Ngadi

게시일 2026-06-24

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Muhammad Usama Nazir, Asri Bin Ngadi

원본 논문은 CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

문제점: 보안 센터의 "양치기 소년"

**보안 운영 센터(SOC)**를 거대한 도시를 위한 첨단 통제실이라고 상상해 보세요. 그 안에서 인간 분석가들은 도시의 경찰 역할을 하며, 사이버 공격(위험 신호)을 감지하기 위해 화면을 주시합니다.

현재 이 분석가들은 정보의 홍수에 빠져 허우적대고 있습니다. 이들의 자동 경보 시스템(침입 탐지 시스템, IDS)은 시간당 50회에서 100회에 달하는 경보를 울려대고 있습니다. 문제는 무엇일까요? 대부분의 경보는 가짜 경보라는 점입니다. 마치 건물이 불타는 것이 아니라 단순히 누군가 토스트를 태워서 연기 감지기가 울리는 것과 같습니다.

이것은 두 가지 큰 문제를 일으킵니다:

경보 피로(Alert Fatigue): 인간은 지치고 압도당합니다. 사람들이 양치기 소년의 외침을 무시하듯, 분석가들도 경보를 무시하기 시작합니다.
블랙박스(The Black Box): 경보가 울릴 때, 컴퓨터는 "이것은 나쁜 것이다"라고 말하지만, 왜 그런지에 대해서는 설명하지 못합니다. 이는 마치 판사가 증거를 읽지도 않고 판결을 내리는 것과 같습니다. 분석가들은 이를 신뢰할 수 없기에 모든 것을 다시 확인하느라 시간을 낭비합니다.

해결책: "동적 설명 가능 프레임워크" (DEF)

저자들은 DEF라고 불리는 새로운 시스템을 제안합니다. DEF를 단순한 똑똑한 알람이 아니라, 인간 경찰을 돕는 **초지능적인 '말하는 탐정'**이라고 생각하세요.

DEF는 세 단계의 조립 라인처럼 세 가지 주요 단계로 작동합니다.

1. 시간 여행을 하는 탐정 (시계열 트랜스포머, Time-Series Transformer)

기존의 시스템들은 한 번에 하나의 사건만 봅니다(마치 영화의 단일 프레임만 보는 것과 같습니다). 하지만 해커들은 자물쇠를 따고, 문을 열고, 금고를 훔치는 것처럼 단계적으로 공격합니다.

비유: DEF는 **시계열 트랜스포머(Time-Series Transformer)**를 사용하여 단일 프레임이 아닌 영화 전체를 봅니다. 지금 무슨 일이 일어나고 있는지 이해하기 위해 10초 전에 무슨 일이 있었는지 기억합니다. 이를 통해 다른 시스템이 놓칠 수 있는 복잡하고 다단계적인 공격을 포착합니다.

2. 이웃 감시단 (그래프 합성곱 네트워크, Graph Convolutional Network)

기존 시스템은 개별 컴퓨터를 독립적으로 봅니다. 하지만 해커들은 바이러스가 동네에 퍼지는 것처럼 한 컴퓨터에서 다른 컴퓨터로 이동합니다.

비유: DEF는 **그래프 합성곱 네트워크(GCN)**를 사용하여 전체 네트워크의 지도를 그립니다. 컴퓨터들이 어떻게 연결되어 있는지 파악합니다. 만약 컴퓨터 A가 컴퓨터 B와 통신하고, 컴퓨터 B가 컴퓨터 C와 통신한다면, DEF는 전체 사슬을 봅니다. 이를 통해 단일 컴퓨터만 보는 시스템이라면 놓칠 수 있는, 해커가 기계를 옮겨 다니는 '측면 이동(lateral movement)' 공격을 찾아낼 수 있습니다.

3. 설명가 및 필터 (XAI 및 우선순위 지정)

이 부분은 인간에게 가장 중요한 부분입니다. DEF는 위협을 발견했을 때 단순히 "경보!"라고 비명을 지르는 데 그치지 않습니다. 대신 두 가지 일을 수행합니다.

설명하기: SHAP과 LIME이라는 도구를 사용하여 쉬운 언어로 된 보고서를 생성합니다.
- 비유: 단순히 "불이야!"라고 말하는 대신, "불이야! 주방 온도가 200°F이고 연기 센서가 작동했기 때문입니다"라고 말하는 것과 같습니다. 즉시 '이유'를 제공합니다.
- 속도: 이 과정은 매우 빠르게 진행됩니다(요약에는 8.7밀리초, 상세 보고서에는 234밀리초 소요). 따라서 시스템 속도를 늦추지 않습니다.
필터링하기: 클럽 입구의 가드(Bouncer) 역할을 합니다. 모든 경보에 대해 "우선순위 점수"를 계산합니다.
- 만약 경보가 가짜 경보(태운 토스트)일 가능성이 높다면, DEF는 이를 "낮은 우선순위" 보관함으로 보냅니다.
- 만약 실제 위협(진짜 화재)이라면, 이를 인간 분석가에게 즉시 전달합니다.

결과: 테스트에서는 어떤 일이 일어났나?

저자들은 다양한 유형의 사이버 공격을 나타내는 방대한 데이터셋(60,000개 샘플)을 통해 이 시스템을 테스트했습니다. 결과는 다음과 같습니다.

더 똑똑한 탐지: 이 시스템은 공격의 **94.6%**를 정확하게 잡아냈습니다. 이는 Random Forest나 LSTM 같은 표준 시스템보다 뛰어난 성능입니다.
더 적은 오보: 가짜 경보를 울린 비율은 1.16%에 불과했습니다. 12%의 오보율을 보였던 기존의 시그니처 기반 시스템(Snort 등)과 비교하면 10배 개선된 수치입니다.
"가드(Bouncer)" 효과: 이것이 가장 큰 성과입니다. 시스템은 인간이 검토해야 할 경보의 수를 68.9% 줄였습니다.
- 전: 분석가들은 시간당 50~100개의 경보를 보았습니다.
- 후: 분석가들은 이제 시간당 16~31개의 경보만 봅니다.
- 핵심: 그러면서도 나쁜 놈들을 놓치지 않았습니다. 시스템은 여전히 실제 공격의 **90.7%**를 잡아냈습니다. 단지 "태운 토스트" 때문에 시간을 낭비하는 일을 멈춘 것입니다.

이것이 왜 중요한가

이 논문은 더 똑똑한 탐지(전체 영화와 전체 동네를 보는 것)를 즉각적인 설명 및 자동 필터링과 결합함으로써 "경보 피로" 문제를 해결할 수 있다고 주장합니다.

인간 분석가가 혼란스럽고 지친 채로 번쩍이는 붉은 불빛의 벽을 응시하는 대신, 이제는 높은 우선순위의 경보 목록을 관리 가능한 수준으로 받게 되며, 각 경보에는 왜 위험한지에 대한 명확한 설명이 붙어 있습니다. 이를 통해 분석가는 더 빠르게 대응할 수 있고 시스템을 더 신뢰할 수 있습니다.

요약하자면: 이 논문은 소음을 걸러내고, 신호를 설명하며, 인간 전문가가 오직 진짜 비상사태에만 집중할 수 있도록 돕는 매우 효율적이고 '말하는' 조수를 제시합니다.

기술 요약: 실시간 침입 탐지 및 자동 경보 우선순위 지정을 위한 동적 설명 가능한 AI 프레임워크

1. 문제 정의

보안 운영 센터(SOC)는 심각한 운영 병목 현상에 직면해 있습니다: 분석가들은 시간당 50~100개의 보안 경보에 압도당하고 있으며, 이러한 규모는 인지적 피로를 유발하고 사고 대응을 지연시킵니다. 현재의 침입 탐지 시스템(IDS)은 높은 오탐률(false-positive rates)과 해석 가능성이 결여된 "블랙박스" 구조를 통해 이 문제를 심화시킵니다. 결과적으로, 데이터 침해에 대한 전 세계 평균 탐지 시간(MTTD)은 181일에 머물러 있으며, 탐지되지 않은 침해 사고의 평균 비용은 546만 달러에 달합니다.

기존 솔루션들은 세 가지 주요 격차를 보입니다:

정적 설명: 대부분의 설명 가능한 AI(XAI) 애플리케이션은 오프라인에서 설명을 생성하며, 실시간 추론을 지원하지 못합니다.
시계열 모델링 부재: 많은 접근 방식이 네트워크 흐름을 독립적으로 취급하여, 다단계 공격의 특징인 시간적 의존성을 무시합니다.
경보 우선순위 지정 부재: 기존 문헌은 설명 가능성과 경보량 감소의 공동 최적화를 거의 다루지 않으며, 이는 경보 피로라는 SOC 업무량의 근본 원인을 해결하지 못한 채 남겨둡니다.

2. 방법론: 동적 설명 가능 프레임워크 (DEF)

본 논문은 탐지, 설명, 우선순위 지정을 하나의 통합된 시스템으로 통합하도록 설계된 3단계 파이프라인인 **동적 설명 가능 프레임워크(Dynamic Explainable Framework, DEF)**를 제안합니다.

2.1 프레임워크 아키텍처

DEF는 다음의 순차적 단계를 통해 원시 네트워크 트래픽을 처리합니다:

탐지(Detection): 시간적 및 위상적 분석을 결적으로 결합한 하이브리드 딥러닝 모델.
설명(Explanation): 추론 시점에 근거를 생성하는 사후 XAI 모듈(SHAP 및 LIME).
우선순위 지정(Prioritization): 분석가에게 도달하기 전 신뢰도가 낮은 경보를 필터링하는 스코어링 레이어.

2.2 핵심 구성 요소

시계열 트랜스포머 모듈(Time-Series Transformer Module): 네트워크 트래픽을 순차적 스트림으로 취급합니다. 멀티 헤드 셀프 어텐션(multi-head self-attention) 메커ism은 $T$ 개의 연속된 흐름 윈도우 전반에 걸친 장기적 시간 의존성을 포착하여, 흐름 단위 분류기가 놓칠 수 있는 다단계 공격 패턴을 탐지합니다.
그래프 합성곱 네트워크(GCN) 모듈: 네트워크 토폴로지를 노드가 호스트/서비스를 나타내고 엣지가 통신 흐름을 나타내는 그래프로 모델링합니다. GCN은 노드 임베딩을 학습하여 개별 흐름 모델에서는 보이지 않는 공격 전파 패턴(예: 측면 이동)을 탐지합니다.
특징 융합 및 분류(Feature Fusion and Classification): 트랜스포머로부터 추출된 시간적 임베딩( $h_T$ )과 GCN으로부터 추출된 그래프 임베딩( $g$ )을 결합하여 분류 헤드로 전달함으로써 공격 클래스를 예측합니다.
XAI 설명 모듈:
- SHAP (SHapley Additive exPlanations): 전역 및 지역적 특징 기여도를 제공하기 위해 샤플리 값(Shapley values)을 계산합니다. 본 프레임워크는 효율성을 위해 TreeExplainer 알고리즘을 활용합니다.
- LIME (Local Interpretable Model-Agnostic Explanations): 특정 탐지 결정에 대한 국소적 선형 근사치를 생성하여 개별 인스턴스를 설명합니다.
경보 우선순위 지정 레이어: 각 경보 $a$ 에는 다음과 같은 복합 우선순위 점수 $P(a)$ 가 할당됩니다:
$P(a) = \alpha \hat{p}_{attack}(a) + \beta S_{SHAP}(a) + \gamma C_{GCN}(a)$
여기서 $\hat{p}_{attack}$ 은 예측된 공격 확률, $S_{SHAP}$ 은 평균 절대 SHAP 값(설명 신뢰도), $C_{GCN}$ 은 소스 노드의 매개 중심성(betweenness centrality)입니다. 설정된 임계값 $\theta$ 미만의 경보는 억제됩니다.

3. 실험 설정

데이터셋: 8개 카테고리(Benign, Bot, Brute Force FTP/SSH, DDoS, DoS Hulk, DoS Slowloris, Web Attack)에 걸쳐 60,000개의 샘플로 구성된 CIC-IDS-2018 기반의 구조화된 벤치마크입니다. 이 데이터셋은 약 70%의 정상 트래픽을 포함하는 실제 환경의 클래스 불균형을 반영합니다.
전처리: 클리닝, 정규화, 훈련 세트에 대한 SMOTE 오버샘플링, 그리고 70/15/15의 층화 분할(stratified split)을 포함합니다.
베이스라인: Snort(시그니처 기반), Random Forest, LSTM, XGBoost, 그리고 XGBoost+SHAP와 비교합니다.
지표: 정확도(Accuracy), 정밀도(Precision), 재현율(Recall), Macro F1-score, AUC-ROC, 오탐률(False Positive Rate, FPR), 경보 감소율(Alert Reduction Rate, ARR)을 사용합니다.

4. 주요 결과

9,000개의 테스트 샘플을 대상으로 평가한 결과, DEF는 다음과 같은 성능을 입증했습니다.

4.1 탐지 성능

정확도(Accuracy): 94.58%
Macro F1-Score: 90.11%
AUC-ROC: 0.9855
오탐률(FPR): 1.16% (Snort의 약 12% FPR 대비 유의미한 개선).
비교: DEF는 비교 분석에서 Random Forest (F1 87.97%) 및 LSTM (F1 90.11%)을 능가하였으며, 특히 Bot 및 Brute Force 공격 탐지에서 우수한 성능을 보였습니다.

4.2 경보 우선순위 지정 및 SOC 영향

경보 감소: 임계값 $\theta = 0.6$ 에서, 시스템은 분석가에게 제시되는 경보 수를 68.9% 감소시켰습니다 (기존 50~~100개/시간에서 약 16~~31개/시간으로 감소).
재현율 보존: 이러한 감소에도 불구하고, 시스템은 90.72%의 재현율을 유지하여 실제 공격의 대다수를 놓치지 않음을 보장했습니다.
업무량 감소: 이 감소는 분석가의 트리아지(triage) 시간을 시간당 약 1,000분에서 약 310분으로 단축하는 결과로 이어집니다.

4.3 XAI 효율성 및 품질

SHAP 속도: 전역 및 지역 설명을 샘플당 8.7 ms 내에 생성하여, SOC 대시보드를 위한 근실시간(near-real-time) 임계값을 충족했습니다.
LIME 속도: 인스턴스당 234.8 ms 내에 로컬 설명을 생성했습니다.
해석 가능성: 시스템은 각 경보와 함께 인간이 해석 가능한 근거(예: 특정 예측을 '공격'으로 밀어붙이는 특정 특징 임계값)를 제공하여, ML 전문 지식 없이도 분석가의 의사결정을 돕습니다.

5. 의의 및 주장

본 논문은 DEF가 기존 문헌들이 종종 개별적으로 다루었던 정확도, 업무량 감소, 투명성이라는 세 가지 요소를 동시에 해결한다고 주장합니다.

운영 가능성: 본 프레임워크는 실제 위협의 재현율을 저해하지 않으면서 높은 탐지 정확도와 상당한 경보량 감소를 동시에 달로 달성할 수 있음을 입증했습니다.
실시간 XAI: SHAP을 통해 밀리초 단위(8.7 ms)로 설명을 생성함으로써, DEF는 복잡한 딥러닝 모델과 분석가의 즉각적인 신뢰 및 행동 필요성 사이의 간극을 메웁니다.
통합적 접근: 오프라인 설명이나 탐지에만 집중하는 이전 연구들과 달리, DEF는 시간적 모델링(Transformer), 위상적 모델링(GCN), 그리고 실시간 우선순위 지정을 하나의 파이프라인으로 통합하여 실제 생산 환경의 SOC에 적합하도록 설계되었습니다.

저자들은 한계점으로 원시 데이터 전체가 아닌 CIC-IDS-2018의 구조화된 서브셋을 사용한 점, 환경 제약으로 인해 LSTM 대신 XGBoost를 대리 모델로 사용한 점, 그리고 GCN 모듈을 위해 실시간 네트워크 토폴로지 스냅샷이 필요하다는 점을 언급했습니다. 향후 과제로 전체 데이터셋에 대한 완전한 Transformer+GCN 파이프라인 검증과 실제 분석가의 응답 시간 개선 정도를 측정하기 위한 사용자 연구를 제안했습니다.