하이브리드 GNN?Transformer 모델을 이용한 플로우 기반 네트워크 침입 탐지에 관한 연구 = A Study on Flow-based Network Intrusion Detection Using a Hybrid GNN?Transformer Model

국문 초록 (Abstract)

본 연구는 플로우 기반 네트워크 침입 탐지에서 그래프 구조 정보와 전역 문맥 정보를 동시에 반영하기 위해, SAGEConv 기반 그래프 신경망과 Transformer Encoder를 융합한 하이브리드 모델(Hybrid GNN–Transformer)을 제안한다. 이를 위해 UNSW-NB15와 CIC-IDS2017 데이터셋의 각 플로우를 노드로 정의하고, Source IP를 기준으로 그룹 분할을 수행한 뒤 temporal chain과 K-근접 윈도우 엣지를 이용하여 노드 중심 그래프를 구성하였다. 제안 모델은 SAGEConv 블록으로 로컬 그래프 구조를 학습하고, Transformer Encoder로 플로우 전역 문맥을 학습한 후 Gated Fusion 모듈을 통해 두표현을 통합하며, MLP, GCN, GAT, GraphSAGE, TransformerEncoderOnly와 성능을 비교하였다. 실험 결과, UNSW-NB15에서 정확도 약 99%·Macro-F1 약 0.98, CIC-IDS2017에서 정확도 약 97%·Macro-F1 약 0.96을 기록했으며, 두 데이터셋 모두 ROC-AUC가 0.99 이상으로 나타나 정상·공격 트래픽을 높은 수준으로 구분함을 확인하였다. 이러한 결과는 SAGEConv 기반 GNN과 Transformer Encoder를 융합한 하이브리드 구조가, 단일 모델 대비 플로우 기반 침입 탐지에서 더 우수한 성능과 일반화 능력을 제공함을 시사한다.

목차 (Table of Contents)

• Ⅰ. 서 론 01
• 1. 연구 배경 01
• 2. 연구 목적 02
• 3. 연구 범위와 한계 03
• 4. 본 논문의 구성 04
• Ⅱ. 이론 및 선행 연구 05
• 1. 네트워크 침입 탐지 시스템(NIDS) 개요 05
• 2. GNN(특히 GraphSAGE) 이론 08
• 1) 그래프 신경망(GNN)의 기본 개념과 메시지 패싱 09
• 2) GraphSAGE의 구조와 동작 원리 12
• 3) GNN/GraphSAGE 기반 NIDS 적용 동향 14
• 3. Transformer Encoder와 시계열/플로우 문맥 16
• 1) 트랜스포머(Transformer) 모델 개념과 특성 16
• 2) Transformer Encoder 구조와 동작 원리 19
• 3) 시계열/플로우 문맥 21
• 4. 하이브리드 접근(GNN+Transformer) 관련 선행연구 23
• Ⅲ. 연구 방법 및 절차 29
• 1. 연구 절차 개요 29
• 2. 데이터셋(UNSW-NB15, CIC-IDS2017) 소개 및 전처리 31
• 1) UNSW-NB15 및 CIC-IDS2017 데이터셋 개요 31
• 2) 본 연구에서의 데이터 구성 및 전처리 32
• 3) 그래프 생성 방법(노드·엣지·마스크) 33
• 4) 모델 구조(베이스라인 및 제안 하이브리드) 34
• 5) 학습/평가 설정 및 실험 환경 36
• IV. 실험 결과 및 분석 40
• 1. UNSW-NB15 실험 결과 41
• 1) 성능 요약(Accuracy / Precision / Recall / F1-score) 41
• 2) 학습·검증 정확도 변화(Train/Val Accuracy) 42
• 3) 혼동행렬 및 클래스별 성능 분석 45
• 4) ROC 곡선 및 종합 고찰 46
• 5) 모델 간 비교 및 하이브리드 구조의 효과 (UNSW-NB15) 47
• 2. CIC-IDS2017 실험 결과 48
• 1) 성능 요약(Accuracy / Precision / Recall / F1-score) 48
• 2) 학습·검증 정확도 변화(Train/Val Accuracy) 50
• 3) 혼동행렬 및 클래스별 성능 분석 51
• 4) ROC 곡선 및 종합 고찰 52
• 5) 모델 간 비교 및 하이브리드 구조의 효과 (CIC-IDS2017) 53
• Ⅴ. 결 론 56
• 1. 결론 56
• 2. 향후 연구 58
• 참고문헌 61
• Abstract 65