네트워크 보안 침입 탐지를 위한 하이브리드 정규화와 향상된 특징 선택

초록

본 논문은 침입 탐지 시스템(IDS)의 성능 저하 요인인 고차원 데이터, 특성 유형 혼합, 그리고 데이터 지배 현상을 해결하기 위해 두 가지 주요 개선책을 제시한다. 첫째, 순차적 역방향 탐색(sequential backward search)과 정보 이득(information gain)을 결합한 향상된 특징 선택 기법으로 핵심 특성을 추출한다. 둘째, 명목형 네트워크 특성을 확률 질량 함수(PMF)를 이용해 연속형 수치로 변환하고, 기존 정규화 기법과 결합한 하이브리드 정규화 방식을 도입한다. 실험 결과, 제안 기법은 탐지율을 높이고 오탐률을 낮추는 등 기존 방법들을 능가한다는 것이 입증되었다.

상세 분석

이 논문은 IDS 분야에서 흔히 발생하는 세 가지 핵심 문제—데이터 차원의 저주, 특성 유형의 이질성, 그리고 특정 특성에 의한 데이터 지배 현상—에 대한 체계적인 해결책을 제시한다. 첫 번째 기여는 순차적 역방향 탐색(sequential backward search, SBS)과 정보 이득(information gain, IG)을 결합한 특징 선택 프레임워크이다. SBS는 초기에는 전체 특성 집합을 사용하고, 각 단계에서 가장 성능 저하가 적은 특성을 제거함으로써 최적의 특성 서브셋을 탐색한다. 여기서 정보 이득은 각 특성이 클래스 레이블(정상/침입)과 얼마나 높은 상관관계를 갖는지를 정량화하여, SBS 과정에서 제거될 후보 특성을 평가하는 기준으로 활용된다. 이 두 알고리즘을 연계함으로써, 단순히 통계적 중요도만을 고려하는 기존 방법들보다 더 견고하고, 과적합 위험을 최소화한 특성 집합을 도출한다. 실험 결과, 선택된 특성 수는 전체 특성(≈41개) 대비 30% 이하로 감소했음에도 불구하고 탐지 정확도는 3~5% 상승하였다.

두 번째 핵심 기여는 명목형(범주형) 네트워크 특성을 연속형 수치로 변환하는 새로운 매핑 기법이다. 기존 연구에서는 원-핫 인코딩이나 레이블 인코딩을 사용했지만, 이는 차원 폭증이나 순서 정보 왜곡이라는 부작용을 낳는다. 저자들은 각 명목형 특성을 이산 확률 변수로 모델링하고, 해당 변수의 확률 질량 함수(PMF)를 계산한다. 이후 각 관측값을 해당 PMF 값(즉, 발생 확률)으로 치환함으로써, 원래의 범주 정보를 보존하면서도 수치형 데이터와 동일한 스케일을 갖게 만든다. 이 변환은 특히 트래픽 프로토콜, 서비스 종류, 플래그와 같은 특성에 적용되어, 데이터 지배 현상을 완화하고, 이후 정규화 단계에서 균형 잡힌 스케일링을 가능하게 한다.

변환된 수치형 특성은 기존의 최소-최대 정규화, Z-스코어 정규화, 그리고 로그 변환과 같은 표준 정규화 기법과 결합되어 하이브리드 정규화 파이프라인을 형성한다. 저자들은 세 가지 정규화 방식을 각각 적용한 경우와, 제안된 PMF 기반 변환을 포함한 경우를 비교 실험하였다. 결과는 PMF 변환이 포함된 하이브리드 정규화가 클래스 불균형과 특성 스케일 차이로 인한 분류기 성능 저하를 가장 효과적으로 억제한다는 것을 보여준다.

마지막으로, 제안된 두 가지 개선책을 결합한 전체 프레임워크를 다양한 머신러닝 분류기(예: SVM, 랜덤 포레스트, KNN)와 함께 평가하였다. 실험 데이터는 KDD’99, NSL‑KDD, 그리고 최신 CIC‑IDS2017 데이터셋을 사용했으며, 각 데이터셋에 대해 교차 검증을 수행하였다. 평가 지표는 탐지율(Detection Rate), 오탐률(False Positive Rate), 정확도(Accuracy), 그리고 F1‑Score였다. 전반적으로, 기존 베이스라인(특성 선택 없이 원본 데이터 사용) 대비 탐지율이 4.2%p 상승하고, 오탐률이 3.7%p 감소했으며, F1‑Score는 평균 5%p 향상되었다. 특히, 랜덤 포레스트와 결합했을 때 가장 큰 성능 향상이 관찰되었다.

이러한 결과는 두 가지 핵심 아이디어—정보 이득 기반 역방향 특징 선택과 PMF 기반 명목형 특성 수치화—가 서로 보완적으로 작용하여, 데이터 전처리 단계에서 발생하는 주요 문제들을 동시에 해결함을 시사한다. 또한, 제안된 방법은 기존 IDS 파이프라인에 비교적 적은 추가 비용으로 통합 가능하므로 실무 적용 가능성도 높다.