네트워크 보안에 타입화된 결정 모델 도입, VX-One 실증
원제 VX-One: Typed, Calibrated Decision Heads for Real-Time Perimeter Triage - An empirical study of unknown-attack honesty, cascade gray zones, and calibration under drift
추천 10댓글 1
Key Point
시그니처 엔진과 머신러닝의 장점을 결합하는 캐스케이드 아키텍처에서 타입화된 결정의 효과와 한계를 실증적으로 측정한 결과, 특히 시간적 변화 같은 실전 조건에서 캘리브레이션이 붕괴되는 현상은 보안 시스템 운영에 직접 영향을 미친다.
핵심 요약
- 네트워크 경계 방어(perimeter triage)는 빠른 시그니처 엔진과 느리지만 의미를 파악하는 생성형 모델 간의 절충이 필요한데, 최근 상용 System One 결정 모델들이 이진 게이트·폐쇄형 선택·순서형 점수 같은 타입화된 의사결정 원시형을 API로 제공하기 시작했다.
- VX-One은 100K-10M 파라미터의 소규모 멀티헤드 네트워크로서 캘리브레이션된 게이트, 미지의 선택지를 항상 포함하는 폐쇄형 후보군에서의 선택, 순서형 점수를 출력하며, CPU에서 약 0.7-1.7ms의 추론 시간을 가진다.
- UNSW-NB15, CIC-IDS2017, EMBER2024 벤치마크에서 캘리브레이션된 XGBoost, 랜덤포레스트, MLP, Kitsune과 비교 평가했고, Suricata 시그니처 엔진(52,674개 규칙) 뒤에 VX-One을 두는 2단계 캐스케이드 구성을 CIC-IDS2017의 5일간 데이터로 측정했다.
- VX-One은 UNSW-NB15에서 그리고 CIC-IDS2017의 시간적 변화(temporal drift) 조건에서 탐지 성능(AUROC/FPR@95%TPR)이 우수했으나(0.711 vs 0.637), 다중클래스 속성 파악에서는 XGBoost가 세 벤치마크 모두에서 앞섰다.
- 보지 못한 공격군을 감지하는 게이트는 UNSW의 9개 폴드 중 9개에서 성공했지만 CIC의 재구성(recon) 공격군에서 무작위 추측 수준으로 떨어졌고, 기각 임계값이 벤치마크 간에 전이되지 않았다.
- 페이로드 없는 네트워크 흐름 재구성 환경에서 시그니처 엔진은 약 0.1% 흐름만 해결했고 나머지 약 99.9%는 '그레이 존'을 형성했으나, 2단계에서 통합 재현율이 0.978 이상으로 회복되었다.
- 모든 방법에서 시간적 변화 하에서 캘리브레이션이 무너졌으나(기대 캘리브레이션 오차 0.04→0.40), 순서형 점수의 신뢰도는 부분적으로 유지되었다.