기계학습을 이용한 IoT 사이버 공격 탐지와 데이터 가치 분석

국문 초록 (Abstract)

IoT(Internet of Things) 장치는 취약한 아이디/비밀번호 사용, 인증되지 않은 펌웨어 업데이트 등 많은 보안 취약점을 보여 사이버 공격의 대상이 되고 있다. 그러나 CPU 구조의 다양성과 연산 자원의 제약으로 인해 사이버 공격 분석 환경 설정과 특징 설계에 어려움이 있다. 본 논문에서는 IoT 장치의 제약성을 고려한 기계학습 기반 IoT 악성코드 탐지와 네트워크 이상 탐지 방법을 제안한다. 또한 데이터 샤플리(data Shapley) 이론을 이용한 학습 데이터 가치 평가를 통해 인스턴스 선택과 이상치 탐지를 수행한다.
IoT 악성코드 탐지를 위해 실행 파일 바이트 시퀀스의 엔트로피를 계산하고 선형 보간법을 적용시켜 고정 길이의 훈련 특징 표현이 제안된다. 제안 특징은 CPU 구조에 무관한 특징 표현이 가능하며 저차원이다. 한편, 네트워크 이상 탐지에 적용 시 통신 프로토콜과 무관한 트래픽 특징을 추출이 가능하다. 비교 실험에서 k-NN이 16 길이의 엔트로피 패턴을 학습했을 때 가장 높은 탐지 성능을 보였으며, 네트워크 이상 탐지의 경우 OCSVM 모델의 성능이 우수했다.
데이터 가치 분석은 인스턴스 선택 방법과 이상치 탐지 방법을 이용한다. 두 분류 문제에서 모델 성능에 대한 훈련 데이터의 기여도를 정량화시켜 데이터 가치가 분석된다. 인스턴스 선택은 모델 학습에서 낮은 기여도를 갖는 훈련 데이터를 제외시킨다. IoT 악성코드 탐지에서 k-NN, 의사결정트리, 랜덤포레스트는 인스턴스 선택에 따라 성능 향상을 보였지만, 순환신경망 모델은 성능이 감소했다. 네트워크 이상 탐지에서 훈련 데이터 내 이상치 데이터의 가치는 정상 데이터에 비해 낮게 분포되어 변별력이 보장된다. 그러므로 제안 방법은 IoT 네트워크 이상 분석에 이용될 수 있다.

목차 (Table of Contents)

• 국문초록
• 목 차
• List of Tables
• List of Figures
• Ⅰ. 서론
• Ⅱ. 악성코드 탐지
• 2.1 연구 배경
• 2.1.1 악성코드 분석
• 2.1.2 악성코드 탐지 관련 연구
• 2.2 악성코드 특징 추출
• 2.3 학습 알고리즘
• 2.3.1 k-NN
• 2.3.2 의사결정트리
• 2.3.3 랜덤포레스트
• 2.3.4 RNN
• 2.3.5 LSTM
• 2.4 실험 및 결과
• Ⅲ. 네트워크 이상 탐지
• 3.1 연구 배경
• 3.1.1 이상 탐지
• 3.1.2 네트워크 이상 탐지 관련 연구
• 3.2 네트워크 트래픽 특징
• 3.3 이상 탐지 알고리즘
• 3.3.1 iForest
• 3.3.2 OCSVM
• 3.3.3 DBSCAN
• 3.3.4 HR-DBSCAN
• 3.4 실험 및 결과
• 3.4.1 학습 데이터 구성
• 3.4.2 트래픽 특징의 히스토그램 분석
• 3.4.3 IoT 장치별 이상 탐지 성능 비교
• Ⅳ. 데이터 샤플리
• 4.1 샤플리 값
• 4.2 데이터 샤플리 알고리즘
• 4.2.1 TMC Shapley
• 4.2.2 Gradient Shapley
• 4.2.2 k-NN Shapley
• 4.3 인스턴스 선택과 이상치 분석
• 4.3.1 인스턴스 선택
• 4.3.2 이상치 분석
• Ⅴ. 결론
• 참고문헌
• Abstract