An Approach to Prevent the Spread of IoT Security Threats through Cosine Similarity Analysis among IoT Devices

IoT 디바이스의 코사인 유사도 분석을 통한 IoT 보안 위협 확산 방지 방법

Abstract

A large number of malware targeting IoT devices is being created and used for attacks such as DDoS. This malware exploits vulnerabilities in IoT devices to spread, and devices with similar characteristics to those already infected are more likely to be compromised by the same malware as it spreads. In this paper, we propose a method to identify devices with a high likelihood of security threats by analyzing the similarity of device characteristic information. Furthermore, we validate the proposed approach by performing comparative analyses with existing algorithms. By predicting devices with a high probability of security threats, the proposed technique is expected to prevent the spread of such threats across the entire IoT infrastructure in advance.

IoT 디바이스를 타겟으로 하는 다수의 악성 코드가 제작되어 DDoS와 같은 공격에 이용되고 있다. 악성코드는 IoT 디바이스의 취약점을 악용하여 전파되며, 악성 코드에 감염된 디바이스와 유사한 특징을 가지고 있는 디바이스는 악성코드가 전파됨에 따라 동일한 악성 코드에 감염될 가능성이 높다. 본 논문에서는 디바이스 특징 정보의 유사도 분석을 통해 보안 위협이 발생할 가능성이 높은 디바이스를 찾는 방법을 제안한다. 또한 제안한 방식의 타당성을 증명하기 위해 기존의 여러 알고리즘과 비교 분석하였다. 제안하는 기술을 통해 보안 위협의 발생 가능성이 높은 디바이스들을 예측함으로써 보안 위협이 IoT 인프라 전체로 확산되는 것을 사전에 방지할 수 있을 것으로 기대한다.

I. 서론

사물인터넷(IoT)은 제조/산업, 운송/모빌리티, 에너지, 스마트시티, 헬스케어 등 다양한 서비스 분야에서 활용되면서 실생활의 많은 부분에 영향을 미치고 있다. 주요 시장 보고서[1,2,3]에 따르면, IoT 솔루션 및 서비스 시장 규모는 꾸준히 성장하고 있으며 이에 따라 IoT 응용 서비스에서 사용되는 디바이스 개수 역시 폭발적으로 늘어날 것으로 예상된다.

IoT는 IT의 보안 문제를 계승함과 동시에 기존 IT 디바이스에 비해 제한된 자원을 가지는 디바이스들로 구성되어 있어 보안에 더욱 취약하다[4]. 이러한 IoT 디바이스의 보안 취약점을 이용한 사례가 2016년 10월에 발생한 대규모 DDoS 공격이다. 이 공격은 Mirai 악성코드에 감염된 IoT 디바이스들로 거대한 봇넷을 구성하여 Krebs on Security, OVH, Dyn을 일시적으로 무력화시켰다. Mirai는 최초 실행 시 랜덤 IP를 대상으로 23번 포트(Telnet)를 스캔하고, 공장 출하 시 설정된 아이디/패스워드 쌍을 사용하여 로그인을 시도한다. IoT 기기에 접속을 성공하면 Mirai 악성코드를 주입해 감염시키고, 이러한 감염 및 전파 과정을 반복하여 봇넷을 형성한다. 봇이 된 IoT 디바이스들은 C&C 서버의 명령에 따라 DDoS 공격을 수행한다[5,6,7,8,9,10].

IoT 악성코드는 단순한 방법으로 대량의 이기종의 IoT 디바이스들을 빠르게 감염시키고, 이를 이용하여 대규모 DDoS 공격을 실시한다. 또한 Mirai의 소스 코드가 공개된 이후, Mirai의 탐지 회피 기술을 개선하고 새로운 IoT 장치 목표를 추가한 다수의 변종 악성코드가 제작되어 공격에 이용되고 있다[5].

IoT 서비스를 보호하기 위해 IoT 봇넷을 탐지하고 IoT 봇넷을 이용한 공격에 대응하고 완화시키기 위한 다양한 방법이 연구되고 있다. 본 논문에서는 봇넷 구성 단계, 즉, 악성코드 전파 단계에서 보안 위협의 확산을 방지하는 방법을 제안하고자 한다.

본 논문의 구성은 다음과 같다. 2장에서는 보안 위협 확산을 방지하기 위한 기존 연구들에 대해 살펴보고, 3장에서는 보안 위협이 발생한 디바이스와의 유사도 분석을 통해 보안 위협의 확산을 방지하는 방법을 제안하고 시험 결과를 제시하며, 마지막으로 4장에서 결론을 맺는다.

II. 관련 연구

악성코드 확산을 방지하기 위해서는 악성코드에 감염된 디바이스를 탐지하여 악성코드에 감염된 디바이스로부터 발생하는 공격 트래픽을 차단하고, 디바이스에서 악성코드를 제거해야 한다. 본 장에서는 보안 위협 확산 방지를 위한 기존 연구들을 살펴본다.

2.1 IoT 악성코드 및 봇넷 탐지 기술

최근의 악성코드 탐지 기술은 인공지능을 활용하여 신·변종 악성코드를 탐지하는데 중점을 두고 있다. IoT 환경에서 DDoS 악성코드를 탐지하기 위해 경량 CNN을 활용[7]하고, 머신러닝 기법과 블록체인 기술을 결합[8]하거나, 순차적 패턴 마이닝[9], CNN 모델[10,11], 고급 앙상블 학습[12], 다중계층 퍼셉트론 및 자동 인코더[13], RNN 기반 딥러닝 모델[14]을 활용하여 악성코드를 탐지 및 분류하는 등 다양한 기계학습 알고리즘을 도입하여 악성코드 탐지 성능을 높이려는 연구가 계속되고 있다.

한편 봇넷을 탐지하는 방법에 대한 연구도 수행되었다. Prokofiev 등[15]은 로지스틱 회귀 모델을 기반으로 봇넷에 포함된 디바이스가 다른 디바이스를 감염시키기 위해 악성코드를 전파하는 단계에서 봇넷을 탐지하는 방법을 제안했다. 또한 디바이스에 무단으로 액세스하고 C&C 서버로부터 명령을 수신하는 데 사용되는 프로토콜 목록을 제공하였다. 이 모델은 텔넷 및 SSH 프로토콜을 이용한 무차별 대입 공격을 통해 전파되는 봇넷 탐지에 적용할 수 있다. Meidan 등[16]은 감염된 IoT 디바이스에서 발생하는 비정상적인 네트워크 트래픽을 탐지하는 N-BaIoT를 제안하고, Mirai와 BASHLITE에 감염된 IoT 디바이스에서 수집한 실제 트래픽 데이터를 사용하여 테스트를 수행하였다. Alqahtani[17]은 피셔 스코어 기반 특징 선택 방법과 유전자 기반 극한 기울기 부스팅(GXGBoost) 모델을 사용하여 IoT 봇넷 공격을 탐지하는 방식을 제안했다. 공개 데이터셋인 N-BaloT를 사용하여 테스트 한 결과 115개의 데이터 트래픽 특징 중 3개만을 사용하여 높은 탐지율을 보였다. Soe 등[18]은 인공신경망, J48 의사결정 트리, 나이브 베이즈 등 여러 가지 머신러닝 알고리즘을 평가하고 각 하위 엔진의 탐지 정확도에 따라 가장 적합한 알고리즘을 선택하는 하이브리드 탐지 아키텍처를 포함하는 봇넷 공격 탐지 프레임워크를 제안하였고, Popoola 등[19]은 불균형이 심한 네트워크 트래픽 데이터의 다중 클래스 분류를 위해 하이브리드 알고리즘 SMOTE-DRNN을 제안하고 Bot-IoT 데이터셋을 사용하여 모델을 학습, 검증, 테스트하였다.

2.2 IoT 보안 위협 완화 전략

Gopal 등[20]은 IoT 봇넷이 확산되는 것을 방지하기 위한 어플리케이션 화이트리스트 기반의 솔루션을 제안하고 성공적으로 Mirai 악성코드를 차단하는지 테스트하였다. 이 솔루션은 라우터/IoT 노드의 모든 어플리케이션을 스캔하고 해시를 계산하여 DB에 저장하는 프로파일링 모듈과 어플리케이션 실행 직전에 어플리케이션의 해시를 계산하여 DB에 저장된 해시와 비교하여 어플리케이션의 실행 여부를 결정하는 어플리케이션 모니터 모듈로 구성된다. 어플리케이션 모니터가 설치된 라우터 2대와 그렇지 않은 라우터 1대로 테스트한 결과 어플리케이션 모니터가 설치된 라우터에서는 봇 실행이 차단됨을 확인하였다. Ahmed 등[21]은 IoT 디바이스에 대한 미라이 봇넷 공격을 완화하기 위해 블록체인 기반 아키텍처를 사용하는 솔루션을 제안하였다. 제안된 시스템의 미라이 봇넷 완화 매커니즘은 자율 시스템에서 구현되는데, 자율 시스템은 연결된 호스트의 패킷을 네트워크 외부로 전달하는 역할과 호스트의 IP 주소 목록을 저장하고 호스트를 악성 또는 정상으로 분류하는 기준이 되는 호스트별 임계값을 저장하는 역할을 수행한다. 자율 시스템이 관리하는 블랙리스트, 화이트리스트, 의심 공격자 리스트, 가능한 피해자 리스트를 블록체인을 통해 다른 자율 시스템과 공유함으로써 악성코드가 전파되는 것을 방지한다. Xiangnan Pan과 Shingo Yamaguchi는 [22]에서 봇넷 방어 시스템에서 구역화를 통한 전술적 대응을 위해 머신러닝 기반의 화이트햇 웜 런처를 제안하고, 악성 봇넷이 IoT 네트워크에 확산되는 것을 파악하기 위해 구역화(zoning) 개념을 도입하였다. 주어진 네트워크를 위험 구역, 안전 구역, 알 수 없는 구역으로 분리하고, 각 구역의 전술에 따라 화이트햇 웜을 배치하여 초기 단계에서 봇넷의 확산을 효과적으로 막을 수 있음을 보였다. Ozcelik 등[23]은 SDN과 포그 접근 방식을 이용하여 IoT에서 DDoS에 대한 엣지 지향 탐지/완화 기법을 소개하였다. 이 논문에서 제안한 방법은 IoT 의 DDoS 공격이 포그 컴퓨팅을 사용하여 엣지에 가까워지면 SDN을 사용하여 완화할 수 있음을 보여주었다. Anirudh 등[24]은 DoS 공격으로 인해 전체 IoT 시스템이 종료되는 것을 피하기 위해 허니팟 모델을 사용하여 DoS 공격을 완화하는 방법론을 제시하였으며, Jerkins 등[25]은 IoT 악성코드가 생물학적 바이러스가 개체군에서 확산되는 방식과 유사하게 전파된다는 점에 착안하여 IoT 디바이스에 접종 전염병(IoT 백신)을 통해 악성코드 공격을 완화하는 기법을 제안하였다. 이 밖에도 감염된 IoT 디바이스를 격리함으로써 악성코드 전파를 방지하는 IoT-proctor[26], SDN을 통해 DDoS 공격 네트워크 트래픽을 차단하는 DDoS 공격 방어 시스템[27], SIEM 기반 IoT 봇넷 DDoS 공격 탐지 및 방어 시스템[28] 등 보안 위협을 완화하기 위한 다양한 연구가 수행되었다.

III. 제안한 방법

3.1 개요

기존 연구에서 제안된 대부분의 방식은 악성코드에 감염된 디바이스에서 발생하는 공격 트래픽을 탐지하여 차단하는 사후 대응 방식이라고 할 수 있다. 본 논문에서는 악성코드에 감염될 가능성이 높은 디바이스를 찾아 보안 위협 확산을 방지하는 선제적 대응 방법을 제안하고자 한다.

CVE-2023-26801 취약점은 LB-LINK BL-AC1900_2.0 V1.0, BL-WR90000 V2.4.9, BL-X26 V1.2.5, BL-LTE300 V1.0.8 무선 라우터에 포함된 명령 주입 취약점으로, 미라이 봇넷 악성코드 확산에 악용되었다[29]. 또한 CVE-2024-7029는 AVTECH IP 카메라 디바이스에 포함된 취약점으로, 명령 주입을 허용함으로써 미라이 변종을 유포하는 공격에 악용될 수 있다[30]. 이와 같이 악성코드에 감염된 디바이스와 동일한 취약점이 있는 디바이스는 같은 악성코드에 감염될 가능성이 높다.

같은 취약점을 가진 디바이스들을 그룹화하여 관리하면 그룹 내에 악성코드가 발생했을 때 해당 그룹을 격리함으로써 보안 위협이 IoT 인프라 전체로 확산되는 것을 최소화할 수 있다. 보안 위협이 발생한 디바이스와 같은 특징을 가지고 있는 디바이스를 찾아서 취약점을 제거하거나 네트워크 연결을 차단하는 등 선제적으로 대응하기 위해서, 본 논문에서는 악성 코드에 감염된 디바이스들과 유사한 특징 정보를 가지고 있는, 즉, 동일한 보안 위협의 발생 가능성이 높은 디바이스들을 찾기 위한 방법을 제시한다.

IoT 네트워크에서 보안 위협 확산 여부에 따라 네트워크 접속을 자율적으로 통제하는 스마트 세그멘테이션 프레임워크 구현에 관한 사전 연구[31]에서 동일한 특징 정보를 가진 디바이스들의 집합체를 세그먼트라고 정의하였다. LB-Link의 BL-AC1900 무선 라우터는 제조사는 LB-Link, 모델명은 BL-AC1900, 펌웨어도 BL-AC1900이라는 정보를 가지고 있다. 해당 디바이스를 설치 시 IP 주소 등 논리적 및 물리적 위치 등을 파악할 수 있다. 이와같이 디바이스의 특징 정보는 디바이스의 종류, 제조사, 모델명, 운영체제 및 버전, 설치 위치, 연결된 게이트웨이, 서비스 종류 등 물리적 또는 논리적 정보 등이다. BL-AC1900 무선 라우터가 제조사가 LB-Link인 세그먼트, 모델명이 BL-AC1900인 세그먼트, 운영체제가 BL-AC1900인 세그먼트에 포함될 수 있듯이 하나의 디바이스는 다수의 세그먼트에 포함될 수 있다.

보안 위협의 발생 가능성이 높은 디바이스들을 찾기 위한 방법으로 보안 위협이 발생한 디바이스가 포함된 모든 세그먼트를 선택하거나, 보안 위협이 발생한 디바이스와 유사한 디바이스들을 추천하는 방법을 생각해 볼 수 있다. 첫 번째 방법은 취약한 디바이스들을 신속하게 파악할 수는 있지만 과도한 선제 대응을 유발할 수 있다. 두 번째는 일상에서 많이 사용되는 도서, 영화, 음악, 식당, 상품 등을 추천하는 추천 알고리즘을 활용하여 보안 위협이 발생할 가능성이 높은 디바이스들을 예측하는 방법이다. 추천 알고리즘 중 콘텐츠 기반 필터링은 그림 1(a)와 같이 사용자가 특정 아이템을 선호하는 경우 그 아이템과 유사한 다른 아이템을 추천하는 방식이며, 유사도 분석 알고리즘을 사용하여 구현된다. 본 논문에서 제안한 방식은 그림 1(b)와 같이 보안 위협이 발생한 디바이스와 비슷한 특징을 가진 디바이스를 예측하기 위해 콘텐츠 기반 필터링을 구현하는데 사용되는 유사도 분석 방법을 활용하였다.

Fig. 1. (a) contents based filtering and (b) prediction for attack candidates

3.2 유사도 분석 접근법

본 논문에서 제안한 접근법은 세그먼트 간 유사도를 분석하기 위해 그림 2와 같이 디바이스의 특징 정보를 추출하여 같은 특징 정보를 가진 디바이스들로 세그먼트를 구성하는 단계와 보안 위협이 발생한 디바이스들과 세그먼트들의 유사도를 분석하는 단계로 구성된다.

Fig. 2. workflow for similarity analysis among segment

3.2.1 세그먼트 구성 단계

세그먼트 구성 단계에서는 디바이스가 연결된 게이트웨이, 디바이스가 사용하는 서비스, 디바이스의 종류, 제조사, 제품명, 운영체제 및 버전, 위치 정보 등을 추출하여 세그먼트를 구성한다. 그림 3에서와 같이, F₁, F₂, F₃이라는 특징 정보를 가진 12개의 디바이스가 있다고 할 때, 한 가지 특징 정보로 세그먼트를 구성하면 특징 정보 F₁, F₂, F₃의 개수를 모두 더한 만큼의 세그먼트가 생성된다. 등록된 디바이스에 대한 세그먼트 구성이 완료된 후, 보안 위협 별로 해당 보안 위협이 발생한 디바이스들을 별도의 세그먼트로 구성하여 추가한다.

Fig. 3. example of segment configuration

3.2.2 유사도 분석 단계

디바이스 특징 정보를 유사도 분석의 입력으로 사용하기 위해서는 벡터화를 통해 텍스트 데이터를 숫자 형식으로 변환해야 한다. 텍스트 벡터화의 대표적인 방법으로는 원-핫 인코딩, TF-IDF(Term Frequency-Inverse Document Frequency), 단어 임베딩 등이 있다. 제안한 시스템은 TF-IDF 모델을 사용하여 벡터화를 수행하였다.

TF-IDF 모델[32]은 문서 내에서 그 단어의 출현 빈도를 사용해서 단어의 중요도를 계산한다. TF(Term Frequency)는 단어가 문서에서 얼마나 자주 출현하는지를 나타내는 값으로, 이 값이 클수록 문서에서 중요하다고 볼 수 있다. 각 단어가 문서 전체에 나오는 빈도인 DF(Document Frequency)를 역으로 곱한 값이 IDF(Inverse Document Frequency)이다. IDF는 단어가 이 문서에 많이 나오지만 다른 문서에서도 많이 나오기 때문에 크게 중요하지 않음을 의미하는 값이다. TF-IDF는 TF와 IDF를 곱한 값으로, 그 값이 클수록 문서를 대표하는 단어라는 것을 의미하므로, 문서 간의 유사도를 구하거나 문서에서 핵심 단어를 추출할 때 주로 사용된다.

세그먼트가 디바이스 특징 정보를 포함하는 문서라면, 디바이스 특징 정보를 토큰화한 것은 TF-IDF 모델에서의 단어라고 볼 수 있다. 이 개념을 바탕으로 세그먼트 별로 디바이스의 특징 정보에 TF-IDF 모델을 적용하면 세그먼트의 특징 정보 벡터를 생성할 수 있다.

특징 벡터를 생성한 다음, 보안 위협이 발생한 디바이스들이 전체 세그먼트 중 어떤 세그먼트와 얼마나 비슷한지 분석하기 위해 코사인 유사도를 사용한다. 코사인 유사도란 두 벡터 간 각도를 측정하여 두 벡터가 동일한 방향을 향하고 있는지 판단함으로써 두 벡터 간 유사도를 측정하는 방법이며, 식 (1)과 같이 계산할 수 있다. 코사인 값이 0이면 두 벡터의 각도가 90도가 되어 두 벡터가 유사하지 않음을 의미하고, 코사인 값이 1에 근접할수록 두 벡터가 유사함을 의미한다[33].

\(\begin{align}\cos (\theta)=\frac{A \cdot B}{\|A\|\|B\|}=\frac{\sum_{i=1}^{n} A_{i} \times B_{i}}{\sqrt{\sum_{i=1}^{n}\left(A_{i}\right)^{2}} \times \sqrt{\sum_{i=1}^{n}\left(B_{i}\right)^{2}}}\end{align}\)       (1)

보안 위협 발생 디바이스들의 특징 벡터와 세그먼트의 특징 벡터 간 코사인 유사도를 구하면 보안 위협 발생 디바이스들과 유사한 특징을 가지고 있는, 즉, 보안 위협 발생 가능성이 높은 세그먼트를 찾을 수 있다.

IV. 실험 및 분석 결과

4.1 실험 환경

실험 환경은 스마트 빌딩에 배치된 IoT 디바이스들을 관리하는 상황을 모사하여 구성하였다. ITU-R 5G Vision Massive IoT에서는 단위면적(1㎢)당 100만개(1㎡당 1개) 가량의 디바이스를 고려하고 있으므로, 이를 참고하여 그림 4와 같이 가상의 10,000개의 디바이스와 40개의 게이트웨이로 구성된 테스트베드를 설정하였다.

Fig. 4. Test-bed configuration diagram for device similarity analysis

디바이스는 종류, 제조사, 제품명, 운영체제, 연결 게이트웨이, 제공 서비스, 설치 위치 등의 특징 정보를 포함한다. 네트워크 트래픽을 분석하여 디바이스의 특징 정보를 수집하는 다양한 방법이 제안되고 있으나 본 논문에서는 논외로 한다.

디바이스의 특징 정보 중 제조사, 제품명, 운영체제 및 버전은 NIST의 NVD data feeds[34]를 파싱하여 IoT 디바이스에 적합한 값들을 선택하였고, 디바이스 종류는 디바이스의 제조사와 제품명을 참고하여 20종으로 구분하였다. 게이트웨이는 테스트베드 구성 환경에 따라 각 게이트웨이 당 250개의 디바이스를 배치하였다. 설치 위치는 디바이스의 물리적 위치를 나타내는 정보로 설정하였고, 서비스는 디바이스가 수행하는 역할에 따라 Safety Management, Network, Emergency, Energy Control, Access Control 중 하나의 값을 매핑하였다. 디바이스 특징 정보 매핑 결과는 표 1과 같다.

Table 1. Configuration of Device Features

구축한 실험 환경에서 10,000개의 디바이스는 그림 5에 나타난 바와 같이 총 10,306개의 세그먼트로 구성된다. 디바이스를 제어하기 위해 하나의 디바이스만으로 구성된 디바이스 세그먼트 10,000개를 제외하면 두 개 이상의 디바이스로 구성된 세그먼트는 306개이다.

Fig. 5. All segments

Fig. 6. Features of 10 devices randomly extracted from segment ‘sgm_ty_14’

제품의 종류가 같거나 동일한 운영체제를 사용하는 다수의 디바이스가 동시에 악성코드에 감염된 상황을 모사하여 데이터셋1과 2를 생성하였다.

4.1.1 보안 위협 발생 디바이스 데이터셋-1

세그먼트 ‘sgm_ty_14’은 제품의 종류가 프로그래머블 로직 컨트롤러(Programmable logic controller: PLC)인 총 142대의 디바이스들로 구성되어 있다. ‘sgm_ty_14’ 세그먼트에 포함된 디바이스들 중에서 랜덤으로 10개의 디바이스에서 보안 위협을 발생시켰다. 그림 7은 보안 위협 발생 디바이스의 특징 정보를 나타낸 것이다. 보안 위협 발생 디바이스들은 디바이스 종류와 서비스 값이 동일하고, 제조사, 제품명, OS는 각각 두 종류로 구성되어 있으며, 게이트웨이는 모두 다르고, 위치 값은 D303만 중복되고 나머지 값은 모두 다르다.

Fig. 7. Features of 8 devices randomly extracted from segment ‘sgm_os_3’

4.1.2 보안 위협 발생 디바이스 데이터셋-2

세그먼트 ‘sgm_os_3’은 디바이스의 운영체제가 ‘video_surveillance_8030p_ip_camera_firmware’인 디바이스들로 구성되어 있는 세그먼트이다. ‘sgm_os_3’ 세그먼트에 포함된 디바이스들 중에서 랜덤으로 8개의 디바이스에서 보안 위협을 발생시켰다. 보안 위협 발생 디바이스들은 제조사, 제품명, 운영체제, 서비스가 동일하고 게이트웨이 정보는 모두 다르며 위치 정보는 6종으로 구성되어 있다.

4.2 코사인 유사도 측정

4.1에서 구성한 전체 세그먼트에서 특징 정보를 추출하여 TF-IDF를 이용하여 특징 벡터를 도출했다. 그림 8은 세그먼트의 특징 정보 세트를 벡터화된 행렬로 변환한 결과이다.

Fig. 8. The result of vectorizing segment features using TF-IDF

실험 데이터-1과 실험 데이터-2의 보안 위협 발생 디바이스들의 특징 정보 값을 TF-IDF를 사용하여 벡터화한 다음, 보안 위협 발생 디바이스와 세그먼트들의 코사인 유사도 분석을 수행하였고, 그 결과를 유사도가 높은 순서대로 정렬하여 상위 10개의 세그먼트를 그림 9와 그림 10에 나타냈다.

Fig. 9. The cosine similarity analysis result of the 1^st test data

Fig. 10. The cosine similarity analysis result of the 2^nd test data

코사인 유사도는 1에 가까울수록 유사도가 높으므로, 실험 데이터-1을 사용한 분석에서는 ‘sgm_ty_14’, ‘sgm_os_26’, ‘sgm_pr_38’ 순으로 유사도가 높은 세그먼트이고, 실험 데이터-2를 사용한 분석 결과는 ‘sgm_os-3’, ‘sgm_pr_5’, ‘sgm_sv_1’ 순서대로 유사도가 높은 세그먼트임을 확인할 수 있다.

4.3 유클리드 거리 유사도 측정

다음으로는 유사도 분석 방법에 따라 유사도 값이 달라지는지를 시험하였다. 4.2에서 수행한 코사인 유사도 측정 실험과 동일한 실험 데이터 1과 2를 사용하여 보안 위협 발생 디바이스와 세그먼트들 간 유클리드 거리를 측정하였다. 그 결과는 그림 11 및 그림 12와 같이 나타났다.

Fig. 11. The Euclidean Distance similarity analysis result of the 1^st test data

Fig. 12. The Euclidean Distance similarity analysis result of the 2^nd test data

유클리드 거리는 0에 가까울수록 유사도가 높으므로 실험 데이터-1을 사용한 분석에서는 ‘sgm_ty_14’, ‘sgm_pr_38’, ‘sgm_os_26’ 순으로 보안 위협 발생 디바이스들과 유사한 세그먼트이며, 실험 데이터-2를 사용한 분석에서는 ‘sgm_pr_5’, ‘sgm_os_3’, ‘sgm_sv_1’ 순서대로 유사도가 높은 세그먼트임을 알 수 있다.

4.4 맨하튼 유사도 측정

마찬가지로 실험 데이터-1과 실험 데이터-2를 사용하여 보안 위협 발생 디바이스와 세그먼트들 간 맨하튼 유사도를 측정한 결과는 그림 13 및 그림 14이다.

Fig. 13. The Manhattan Distance similarity analysis result of the 1^st test data

Fig. 14. The Manhattan Distance similarity analysis result of the 2^nd test data

맨하튼 유사도는 1에 가까울수록 유사도가 높으므로 실험 데이터-1을 사용한 분석에서는 ‘sgm_ty_14’, ‘sgm_os_26’, ‘sgm_pr_38’ 순으로 보안 위협 발생 디바이스들과 유사한 세그먼트이며, 실험 데이터-2를 사용한 분석에서는 ‘sgm_os_3’, ‘sgm_pr_5’, ‘sgm_pr_51’ 순으로 유사도가 높은 세그먼트임을 나타낸다.

4.5 실험 결과 분석

실험 결과를 분석하기 위해 보안 위협 발생 디바이스들의 특징 정보와 유사도가 높은 세그먼트들의 특징 정보가 어떤 단어 토큰으로 구성되어 있는지 확인하였다.

실험 데이터-1을 분석한 결과, 보안 위협이 발생한 디바이스들의 특징 정보는 ‘plc’, ‘energycontrol’, ‘siemens’, ‘300_cpu’, ‘softnet_pn’과 같은 단어들의 출현 빈도가 높고, 코사인 유사도 값이 높게 측정된 상위 3개의 세그먼트는 ‘plc’, ‘siemens’, ‘1766’, ‘energycontrol’ 등의 토큰이 다수 포함되어 있음을 확인할 수 있었다.

또한 실험 데이터-2의 경우, 보안 위협이 발생한 디바이스들의 특징 정보에는 ‘ip’, ‘camera’, ‘cisco’, ‘video_surveillance_8030p_ip_camera’, ‘safetymanagement’의 출현 빈도가 높고, 유사도 값이 높은 상위 3개의 세그먼트에서도 같은 단어의 출현 빈도가 높음을 확인할 수 있었다.

Fig. 15. Analysis of experimental results (test data-1)

Fig. 16. Analysis of experimental results (test data-2)

유사도 분석 방법에 따라 유사도 값이 달라지는지를 확인한 결과, 그림 17 및 그림 18과 같이 코사인 유사도 측정, 유클리드 거리 측정, 맨하튼 유사도 측정의 결과가 거의 동일하게 나타남을 알 수 있었다.

Fig. 17. Compare experimental results using different similarity analysis methods on Test Data 1

Fig. 18. Compare experimental results using different similarity analysis methods on Test Data 2

마지막으로 특징 벡터를 구성 방법에 따른 유사도 분석의 성능을 비교하였다. 동일한 데이터를 사용하여 BoW 방식, TF-IDF 방식, word2vec 방식을 사용하여 각각 특징 벡터를 구성하고 코사인 유사도를 사용하여 분석하였다. 그림 19와 그림 20에서 확인할 수 있는 바와 같이 다양한 특징 벡터 구성 방법에 따른 코사인 유사도 분석의 결과는 거의 유사하였다.

Fig. 19. Compare experimental results using different vectorization methods on test data 1

Fig. 20. Compare experimental results using different vectorization methods on test data 2

이 실험을 통해 유사도 값이 임계값 이상인 세그먼트들이 보안 위협 발생 디바이스의 특징 정보와 유사한 디바이스들로 구성된 세그먼트임을 확인하였다. 따라서 보안 위협 발생 디바이스와의 유사도 값이 높은 세그먼트에 대해 선제 대응을 한다면 보안 위협의 확산을 효과적으로 방지할 수 있음을 기대할 수 있다.

V. 결론

본 논문에서는 IoT 인프라 내에서의 보안 위협의 확산을 방지하기 위한 하나의 해결책으로 코사인 유사도를 기반으로 보안 위협이 발생한 디바이스들과 유사한 특징을 가진 디바이스들을 찾는 방법론을 제시하고 성능을 검증하였다.

본 논문에서 제안한 기술은 디바이스 정보의 유사성을 기반으로 보안 위협의 발생 가능성이 높은 디바이스들을 예측함으로써 보안 위협이 IoT 인프라 전체로 확산되는 것을 사전에 방지할 수 있을 것으로 기대된다. 특히 보안 기능 탑재가 어려운 저사양의 IoT 디바이스가 봇이 되어 대규모 사이버 공격에 악용되는 것을 막을 수 있으므로 대량의 디바이스에 대한 보안 관리 비용을 절감할 수 있을 것이다. 또한 SIEM이나 SOAR와 같은 기존의 IT 보안 관제 솔루션을 보완하는 기술로도 활용 가치가 높다고 판단된다.

더욱 확장될 IoT 환경을 고려하면 디바이스 정보의 유사도 분석을 위한 자동화된 디바이스 특징 정보의 추출이 필수적이다. 추후 연구에서는 악성코드 확산에 영향을 미칠 수 있는 특징 정보에 대한 추가적인 조사와 자동화된 디바이스 특징 추출 방법에 대한 연구를 수행하고, 유사도 분석의 성능과 정확도를 높이기 위해 유사도 분석 알고리즘을 개선하고자 한다.