다중 AI 모델 활용 OTT 플랫폼 악성 사용자 행위 판별 시스템 개발 = Development of a Multi-AI Model-based Malicious User Behavior Detection System for OTT Platforms

국문 초록 (Abstract)

OTT（Over-The-Top） 서비스는 인터넷을 통해 영화, 드라마, 라이브 스포츠 등 다양한 영상 콘텐츠를 제공하는 미디어 형태로 스마트 TV·태블릿·모바일 등 여러 디바이스가 보급되면서 현대 사회의 핵심 영상 소비 채널로 자리 잡았다. 그러나 OTT의 보편화와 함께 자동화 도구를 이용한 콘텐츠 직접 수집, 다수의 외부 소비자가 같은 CDN 토큰을 함께 사용하는 토큰 공유, 여러 사용자가 한 편의 콘텐츠 시청 흐름을 단계별로 이어받는 시청 권한 인계 등 다양한 형태의 악성 사용자 행위가 OTT 사업자에게 지속적인 피해를 유발하고 있다. 특히 OTT 환경의 악성 사용자 행위는 자동화 도구가 한 번에 다량의 세그먼트를 직접 수집하는 것처럼 한 명의 사용자가 한 편의 콘텐츠를 시청하는 단일 시청 세션 수준에서도 식별 가능한 도구형 행위뿐만 아니라 동일한 토큰이 여러 외부 소비자에게 전달되거나 다수 사용자가 같은 콘텐츠를 단계 단위로 이어받는 것처럼 다수의 시청 세션 사이의 연결 관계를 통해서만 식별 가능한 관계형 행위까지 포함한다. 그러나 기존 OTT 보안 기법은 개별 요청이나 단일 세션 단위의 통계적 특징에 의존하기 때문에 이러한 관계형 악성 행위를 효과적으로 식별하기 어렵다. 또한 정상 시청과 악성 시청이 동일한 환경에서 함께 라벨링된 공개 데이터셋이 부족하여 OTT 환경의 악성 사용자 행위 탐지 연구를 위한 학습 및 평가 기준이 제한적이라는 문제점이 존재한다. 본 논문은 이러한 한계를 극복하기 위해 OTT 환경의 정상 및 악성 사용자 행위를 동일한 환경에서 수집한 라벨 데이터셋을 직접 구축하고, 이를 기반으로 다중 AI 모델 기반의 OTT 사용자 행위 판별 시스템을 제안한다. 본 논문에서는 한 명의 사용자가 한 편의 콘텐츠를 재생하기 시작해 이어지는 하나의 연속된 시청 흐름을 ViewingSession으로 정의하고, ViewingSession을 데이터 단위로 하는 시청 세션 행위 데이터셋 OTT-VSBD（OTT Viewing Session Behavior Discrimination）를 OTT 사용자 행위 판별의 학습·평가 입력으로 직접 개발한다. 이어 OTT-VSBD를 기반으로 OTT 사용자 행위를 정상과 악성으로 분류하는 모델 계열 OBD（OTT Behavior Discrimination）를 본 논문에서 직접 설계한다. OTT-VSBD를 구축하기 위해 본 연구는 라즈베리파이 기반의 OTT 실증 플랫폼을 구축하고 정상 사용자 행위 시나리오 7개와 악성 사용자 행위 시나리오 7개를 동일한 클라이언트와 계정 풀 환경에서 함께 수집하였다. 그 결과 총 11,194개의 ViewingSession으로 구성된 OTT-VSBD를 확보하였으며, OTT-VSBD를 기반으로 휴리스틱 알고리즘 기반 H-OBD, 머신러닝 기반 ML-OBD, 그래프 신경망 기반 GNN-OBD의 세 가지 OBD 모델을 설계하고, 동일한 OTT-VSBD 위에서 각 모델의 탐지 성능을 비교·평가하였다. GNN-OBD에서는 본 논문에서 ViewingSession을 중심으로 계정·CDN 토큰·콘텐츠·디바이스·IP 등을 노드와 간선으로 연결하여 직접 정의한 이종 지식그래프를 학습 입력으로 사용한다. 실험 결과 H-OBD는 F1-score 0.811, ML-OBD는 0.926, GNN-OBD는 0.973의 성능을 기록하였으며 그래프 구조 기반의 GNN-OBD가 전체 실험에서 가장 우수한 탐지 성능을 보였다. 행위 유형별 분석에서는 도구형 악성 행위의 경우 세 모델 모두 0.80 이상의 분류 성능을 나타냈으며, GNN-OBD는 정상 행위 N1~N7에서 모두 0.91 이상의 정확도를 유지하여 정상과 악성을 가장 안정적으로 분류하였다. 본 연구의 결과는 통제형 OTT 실증 플랫폼에서 수집한 OTT-VSBD 위에서 단일 ViewingSession 단위 특징만으로는 식별이 어려웠던 토큰 공유·단계 인계 형태의 관계형 악성 사용자 행위에 대해 그래프 구조 기반 탐지가 효과적임을 보였다는 점에서 의의를 가진다. 본 연구가 제안하는 OBD 모델 계열은 향후 CDN 기반 불법 스트리밍 탐지, 토큰 공유 탐지, OTT 사용자 이상 행위 분석 시스템 등 다양한 OTT 보안 환경에 적용될 수 있을 것으로 기대된다.

다국어 초록 (Multilingual Abstract)

With the widespread adoption of OTT （Over-The-Top） services, OTT platforms have become one of the primary channels for media consumption in modern society by providing various types of video content such as movies, dramas, and live sports through Internet-based streaming environments accessible from smart TVs, tablets, and mobile devices. However, along with the growing popularity of OTT services, various forms of malicious user behavior—including automated content harvesting using direct HLS access tools, CDN token sharing among multiple external consumers, and relay-based viewing authorization transfer in which multiple users sequentially inherit the viewing flow of a single content session—have continuously caused significant damage to OTT service providers.
In particular, malicious behaviors in OTT environments include not only tool-based activities that can be identified at the level of a single viewing session, such as automated tools directly collecting a large number of HLS segments, but also relational malicious activities that can only be identified through the connection structure among multiple viewing sessions, such as multiple external consumers sharing the same CDN token or multiple users sequentially inheriting the viewing flow of the same content. However, existing OTT security approaches mainly rely on statistical characteristics extracted from individual requests or single-session behaviors, making it difficult to effectively identify such relational malicious activities. Furthermore, publicly available datasets containing both normal and malicious OTT viewing behaviors labeled under the same environment are limited, resulting in insufficient training and evaluation benchmarks for malicious user behavior detection research in OTT environments.
To address these limitations, this paper constructs a labeled OTT viewing-session dataset collected from both normal and malicious user behaviors within the same OTT environment and proposes a multi-AI-model-based OTT user behavior discrimination system. In this study, a ViewingSession is defined as a continuous viewing flow in which a user starts and continues watching a single piece of content. Based on this concept, we develop OTT-VSBD （OTT Viewing Session Behavior Discrimination）, a viewing-session behavior dataset designed as the training and evaluation input for OTT user behavior discrimination. Furthermore, we design a family of OTT Behavior Discrimination （OBD） models that classify OTT user behaviors into normal and malicious categories using OTT-VSBD.
To construct OTT-VSBD, this study builds a Raspberry Pi-based OTT testbed platform and collects seven normal user behavior scenarios and seven malicious user behavior scenarios under the same client and account pool environment. As a result, OTT-VSBD consisting of 11,194 ViewingSessions was constructed. Using OTT-VSBD, we design and evaluate three categories of OBD models: heuristic-based H-OBD, machine-learning-based ML-OBD, and graph-neural-network-based GNN-OBD. In GNN-OBD, a heterogeneous knowledge graph directly defined in this study is used as the learning input by connecting ViewingSessions with accounts, CDN tokens, contents, devices, and IPs through graph nodes and edges.
Experimental results show that H-OBD achieved an F1-score of 0.811, ML-OBD achieved 0.926, and GNN-OBD achieved 0.973, demonstrating that the graph-structure-based GNN-OBD achieved the best overall detection performance. In the behavior-type analysis, all three models achieved over 0.80 classification performance for tool-based malicious behaviors, while GNN-OBD maintained at least 0.91 accuracy across all normal behavior scenarios and showed the most stable discrimination between normal and malicious viewing behaviors.
The results of this study demonstrate that graph-structure-based detection is effective for identifying relational malicious user behaviors such as CDN token sharing and relay-based viewing inheritance, which are difficult to distinguish using only single-ViewingSession-level features, on OTT-VSBD collected from a controlled OTT testbed platform. The proposed OBD model family is expected to be applicable to various OTT security environments, including CDN-based illegal streaming detection, token-sharing detection, and OTT user anomaly behavior analysis systems.

목차 (Table of Contents)

• Ⅰ. 서론 1
• 1. 연구 배경 및 필요성 1
• 2. 연구 목적 및 방법 2
• Ⅱ. 이론적 배경 4
• 1. OTT 콘텐츠 서비스 4
• 1) CDN 및 토큰 인증 5
• 2) HLS 기반 영상 전송 6
• 2. 지식그래프 6
• 3. 그래프 신경망 7
• 1) 동질 그래프 신경망 9
• 2) 이종 그래프 신경망 10
• Ⅲ. 관련 연구 11
• 1. OTT 환경의 콘텐츠 보호 및 유출 탐지 연구 11
• 2. GNN 기반 사기·이상 행위 탐지 연구 12
• Ⅳ. OTT 실증 플랫폼 설계 및 구축 15
• 1. 실증 플랫폼 토폴로지 설계 15
• 2. HLS 콘텐츠 패키징 및 CDN 토큰 인증 체계 구축 16
• 3. 응답 로그 수집 및 파이프라인 구축 18
• Ⅴ. OTT-VSBD: OTT 시청 세션 행위 데이터셋 구축 22
• 1. OTT 정상 사용자 행위 모델 개발 22
• 2. 악성 사용자 행위 모델 개발 24
• 3. OTT 사용자 행위 모델 기반 OTT-VSBD 구축 26
• Ⅵ. OBD: AI 기반 OTT 사용자 행위 판별 모델 설계 33
• 1. H-OBD: 휴리스틱 알고리즘 기반 OTT 사용자 행위 판별 모델 33
• 2. ML-OBD: 머신러닝 기반 OTT 사용자 행위 판별 모델 35
• 3. GNN-OBD: GNN 기반 OTT 사용자 행위 판별 모델 37
• 1) ViewingSession 중심 지식그래프 모델링 37
• 2) GNN 학습 그래프 구축 42
• Ⅶ. 실험 및 성능평가 46
• 1. H-OBD 모델 성능평가 47
• 2. ML-OBD 모델 성능평가 51
• 3. GNN-OBD 모델 성능평가 55
• 4. OBD 모델 비교 및 최적 모델 도출 57
• Ⅷ. 결론 및 향후 연구 62
• 참고문헌 64
• 영문초록 68