사이버보안 준지도학습 서베이: 방법론과 도메인, 공정한 성능 평가 지침 = A Survey of Semi-Supervised Learning in Cybersecurity: Methods, Domains, and Guidelines for Fair Evaluation

국문 초록 (Abstract)

사이버보안 분야는 라벨 희소성과 빠른 분포 변화로 인해 지도학습의 한계를 지속적으로 드러낸다. 본 논문은 사이버보안에서 보고된 준지도학습(Semi-Supervised Learning, SSL) 연구를 방법론(의사-라벨링/교사–학생, 일관성 정규화, 그래프 기반 기법)과 적용 도메인(멀웨어, 암호화 트래픽, 침입 탐지/IoT, 웹/피싱)의 이중 축으로 체계화해 포괄적으로 검토한다. 다수의 SSL 연구는 저밀도 분리 원리를 실증하며, 제한된 라벨 환경에서 군집 내 예측을 안정화하고 결정 경계를 저밀도 영역으로 유도해 라벨 효율과 일반화를 함께 향상함을 보인다. 도메인별로는 (1) 멀웨어/피싱처럼 군집 분리가 비교적 뚜렷한 경우 의사-라벨링/교사–학생 계열이 유효하고, (2) 트래픽 플로우나 이미지 기반 신호 등에서는 일관성 정규화가 유효하다. (3) 침입 탐지/IoT/웹 링크처럼 관계 구조가 뚜렷한 데이터—개체 간 연결·상호작용이 1차 신호인 행위 그래프(호스트–프로세스–파일), 단말 간 통신/세션 그래프, URL–도메인–인증서 링크—에서는 그래프 기반 기법이 강점을 보인다. 아울러 라벨 스냅샷(특정 시점의 라벨 가용성·신뢰도) 개념을 도입해 평가·보고의 시간 의존성을 명시하고, 고확신 임계값 운용, 증강–데이터 특성의 정합, 그래프 정규화/전파 설정을 실무 지침으로 제안한다. 마지막으로, 공정한 성능 평가를 위해 시간 보존 분할(time-aware split), 라벨 스냅샷, 운영점 지표를 포함한 재현성 평가 지침을 제시한다.

다국어 초록 (Multilingual Abstract)

Cybersecurity persistently exposes the limits of purely supervised learning due to label scarcity and rapid distribution shift. This paper offers a comprehensive survey of semi-supervised learning (SSL) in cybersecurity, organized along two axes: methods (pseudo-labeling/teacher–student, consistency regularization, graph-based approaches) and application domains (malware, encrypted traffic, intrusion detection/IoT, web/phishing). Numerous SSL studies empirically support the low-density separation principle, showing that under limited labels SSL stabilizes in-cluster predictions and pushes the decision boundary toward low-density regions, thereby improving both label efficiency and generalization. By domain: (1) in malware/phishing, where cluster separation is comparatively clear, pseudo-labeling/teacher–student methods are effective; (2) for traffic flows or image-like signals, consistency regularization is advantageous; and (3) for relational data—where interactions are primary signals, such as host–process–file behavior graphs, device-to-device communication/session graphs, and URL–domain–certificate link graphs—graph-based SSL has clear strengths. We introduce the notion of a label snapshot (the time-specific availability and reliability of labels) to make evaluation and reporting explicitly time-aware, and we propose practical guidelines on calibrated confidence thresholds, augmentation–data alignment, and graph smoothing/propagation settings. Finally, for fair and reproducible evaluation, we recommend time-aware splits, label snapshots, and operating-point metrics as core assessment practices.