IoT 트래픽 흐름을 위한 해석 가능한 그래프 신경망·매니폴드 시각화 프레임워크

초록

본 논문은 IoT 네트워크 트래픽을 그래프 형태로 모델링하고, GNN 기반 임베딩을 파라메트릭 UMAP 손실과 공동 학습시켜 저차원 매니폴드에 직접 매핑한다. 시각화 가능한 잠재공간을 확보함과 동시에 SHAP을 이용해 각 입력 피처가 매니폴드 구조와 침입 탐지 결과에 미치는 영향을 정량화한다. 실험 결과 0.830의 F1 점수를 달성했으며, 개념 드리프트와 같은 동적 변화를 시각적으로 포착한다.

상세 분석

이 연구는 세 가지 핵심 기술을 유기적으로 결합한다. 첫째, 그래프 이소몰피즘 네트워크(GIN)를 선택해 IoT 디바이스 간의 복잡한 토폴로지를 효과적으로 인코딩한다. GIN은 합산 집계와 학습 가능한 ε 파라미터를 통해 구조적 차이를 고차원 임베딩에 보존한다는 점에서 기존 GCN보다 표현력이 뛰어나다. 둘째, 고차원 임베딩을 저차원 매니폴드에 투사하기 위해 파라메트릭 UMAP(P‑UMAP)을 도입하고, 이를 손실 함수에 포함시켜 학습 단계에서 바로 매니폴드 일관성을 강제한다. 전통적인 사후 처리 방식과 달리, P‑UMAP은 새로운 트래픽 샘플을 실시간으로 동일한 매핑 함수에 통과시켜 스트리밍 환경에 적합하도록 설계되었다. 셋째, SHAP을 활용해 매니폴드 좌표와 최종 침입 탐지 판단에 기여한 원시 피처(예: 패킷 크기, 프로토콜 타입, 시간 간격 등)의 중요도를 추정한다. SHAP 값은 개별 노드·엣지 수준에서 해석 가능성을 제공하므로, 보안 담당자는 비정상 행동을 설명 가능한 근거와 함께 확인할 수 있다. 실험에서는 공개 IoT 트래픽 데이터셋을 사용해 0.830의 F1 점수를 기록했으며, 매니폴드 시각화에서 정상 트래픽은 밀집된 클러스터를 형성하고, 공격 트래픽은 외곽에 분산되는 패턴을 보였다. 또한, 시간에 따라 매니폴드 구조가 서서히 변하는 것을 관찰함으로써 개념 드리프트를 조기에 탐지할 수 있음을 시연한다. 그러나 몇 가지 한계도 존재한다. 매니폴드 차원(d) 선택이 결과에 민감하며, 최적 차원을 자동으로 결정하는 메커니즘이 부재하다. 또한, SHAP 계산 비용이 높은 편이라 실시간 적용 시 효율성 개선이 필요하다. 마지막으로, GIN 기반 모델은 메모리 사용량이 크게 증가해 대규모 IoT 환경에 직접 적용하기엔 스케일링 문제가 남아 있다. 전반적으로 이 논문은 고차원 그래프 임베딩의 불투명성을 시각적·수치적 해석으로 전환하는 실용적인 파이프라인을 제시했으며, 향후 경량화와 자동 차원 선택 연구가 뒤따라야 할 방향이다.