이 글은 Estabraq Saleem Abduljabbar Alars와 Sefer Kurnaz의 2024년 Discover Computing 논문 **“Enhancing network intrusion detection systems with combined network and host traffic features using deep learning: deep learning and IoT perspective”**를 리뷰한 글이다.

논문 링크: Springer DOI 10.1007/s10791-024-09480-3

논문의 핵심 아이디어는 단순하다. Network Intrusion Detection System, 즉 NIDS가 패킷과 flow만 보면 충분하지 않다는 것이다. 시스템 로그, 사용자 활동, 애플리케이션 이벤트, 로그인 패턴 같은 host-side behavior까지 함께 봐야 더 나은 탐지가 가능하다는 주장이다. 저자들은 네트워크 특징과 호스트 특징을 결합한 뒤, CNN과 LSTM 계열 딥러닝 모델로 침입을 탐지한다.

문제의식

전통적인 NIDS는 보통 두 계열로 나뉜다.

Signature-based system은 이미 알려진 공격에는 강하지만, 새로운 공격이나 변형된 공격에는 약하다. Anomaly-based system은 낯선 행위를 잡을 수 있지만 false positive가 많아지는 문제가 있다.

이 논문은 여기에 또 하나의 한계를 더한다. 많은 NIDS가 네트워크 트래픽 중심으로 설계되어 있다는 점이다. 네트워크 관점은 중요하지만 완전하지 않다. 실제 침입은 패킷에서는 약하게 보이고, host 쪽에서는 더 강하게 보일 수 있다. 반복 로그인 시도, 비정상 파일 접근, 권한 변경, 애플리케이션 로그 이상, suspicious system activity가 그런 예다.

따라서 이 논문의 질문은 다음과 같다.

네트워크 트래픽 특징과 호스트 트래픽 특징을 결합하면 침입 탐지 성능이 좋아지는가?

방법 개요

논문의 pipeline은 다섯 단계로 볼 수 있다.

1. Network traffic features를 TCP/IP dump record에서 수집한다.
2. Host activity features를 시스템 로그, 사용자 활동, 애플리케이션 기록에서 수집한다.
3. Data preprocessing을 수행한다. 여기에는 cleaning, normalization, categorical encoding, train/validation/test split이 포함된다.
4. Feature selection과 dimensionality reduction을 수행한다. 논문은 correlation analysis, PCA, recursive feature elimination을 언급한다.
5. Deep learning model을 학습한다. CNN과 LSTM 기반 구조를 사용한다.

논문에서 사용하는 데이터셋은 Kaggle의 Network Intrusion Detection dataset이다. 각 connection record는 41개 feature를 가지며 benign traffic 또는 attack class로 라벨링된다. 논문은 이를 군사용 LAN을 모사한 TCP/IP connection record라고 설명한다. 구조상 KDD 계열 intrusion detection dataset과 매우 가까운 형태다.

왜 네트워크와 호스트 특징을 결합하는가

이 논문에서 가장 쓸모 있는 부분은 feature 관점의 문제 설정이다.

Network feature는 wire 위에서 일어나는 일을 설명한다.

Feature family	예시
Basic connection features	duration, protocol type, service, flag
Content features	failed login attempts, hot indicators, shell-like behavior
Time-based traffic features	짧은 시간 동안 비슷한 host나 service로 향한 연결 수
Host-based traffic features	더 긴 시간 창에서 관찰되는 target host 관련 활동

Host feature는 endpoint 안팎에서 일어나는 일을 설명한다.

Feature family	예시
System activity	system calls, process behavior, application events
User behavior	login attempts, file operations, privilege changes
Application logs	web server events, database transactions, service-level activity

이 결합이 중요한 이유는 공격이 순수한 네트워크 이벤트가 아니기 때문이다. brute-force, privilege escalation, malware execution, lateral movement는 네트워크 흔적과 host 흔적을 동시에 남긴다. 한쪽만 보면 약한 signal이지만, 둘을 합치면 더 강한 evidence가 될 수 있다.

모델 구조

논문은 CNN과 LSTM을 함께 다룬다.

CNN은 feature representation에서 local pattern을 학습하기 위해 사용된다. intrusion detection 관점에서는 특정 traffic attribute와 host attribute가 함께 나타나는 패턴을 잡는 역할로 볼 수 있다.

LSTM은 sequence를 다루기 위해 사용된다. 네트워크 연결, 로그인 시도, 서비스 요청은 순서가 있으며, 그 순서 자체가 공격의 signal이 될 수 있다.

따라서 논문이 의도하는 구조는 hybrid deep learning model이다.

Component	역할
CNN	spatial 또는 local feature pattern 추출
LSTM	temporal, sequential behavior 포착
Dense classifier	benign 또는 attack 분류

학습 설정은 Adam optimizer, learning rate 0.001, 50 epochs, categorical cross-entropy, ReLU/softmax activation, dropout을 중심으로 설명된다. 다만 논문 안에서 batch size가 64로 제시되는 부분과 128로 제시되는 부분이 함께 있어 재현 관점에서는 주의가 필요하다.

보고된 결과

논문의 headline result는 강하다. 제안 방식은 98.5% accuracy를 달성했다고 보고된다. precision, recall, F1-score, AUC도 높게 제시된다.

Metric	Reported value
Accuracy	98.5%
Precision	97.8%
Recall	96.9%
F1-score	97.3%
AUC	0.99

논문은 CNN, LSTM, hybrid variant도 비교한다.

Model	Accuracy	Precision	Recall	F1-score	AUC
Proposed CNN-LSTM	98.5%	97.8%	96.9%	97.3%	0.99
Standalone CNN	95.4%	94.2%	92.7%	93.4%	0.94
Standalone LSTM	91.8%	89.5%	88.4%	88.9%	0.91
CNN-RNN hybrid	96.7%	95.3%	94.2%	94.7%	0.96

동시에 10-fold cross-validation 결과도 제시된다.

Metric	Mean value
Accuracy	94.5%
Precision	93.2%
Recall	94.1%
F1-score	93.6%

이 부분은 중요하다. cross-validation 평균 accuracy는 94.5%이고, 최종 headline result는 98.5%다. 따라서 98.5%를 논문의 전체 성능을 대표하는 절대값으로 읽기보다는, 특정 설정에서 보고된 best result로 읽는 편이 더 안전하다.

논문이 잘한 점

첫 번째 장점은 NIDS를 packet-only view에서 벗어나게 한다는 점이다.

네트워크와 호스트 signal을 결합하는 방향은 현대 intrusion detection에서 설득력이 있다. 실제 공격은 여러 layer를 가로지르며 발생하고, 단일 관측점만 보는 detector는 context를 잃기 쉽다. 특히 IoT와 enterprise 환경에서는 traffic pattern과 endpoint behavior를 함께 보는 것이 자연스럽다.

두 번째 장점은 여러 평가 지표를 사용했다는 점이다. intrusion detection에서 accuracy만 보는 것은 위험하다. 데이터셋이 불균형하면 accuracy가 높아도 실제 공격 탐지력이 낮을 수 있다. precision, recall, F1-score, confusion matrix, ROC/AUC를 함께 보는 접근은 더 타당하다.

세 번째 장점은 pipeline이 비교적 완성된 형태로 제시된다는 점이다. cleaning, normalization, encoding, feature selection, PCA, RFE, train/test split, cross-validation이 모두 언급된다. 단순히 모델 이름만 제시하는 글보다는 실험 흐름이 명확하다.

조심해서 읽어야 할 부분

이 논문에는 한계도 분명하다.

첫째, 데이터셋이 제한적이다. 논문은 41개 feature를 가진 알려진 intrusion detection dataset을 사용한다. 비교와 실험은 쉬워지지만, 이 결과만으로 현대의 encrypted traffic, cloud workload, IoT fleet, adversarially adapted attack에서도 같은 성능이 나온다고 말하기는 어렵다.

둘째, 결과 제시가 완전히 일관되지는 않다. 초록은 98.5% accuracy를 강조하지만, cross-validation table은 94.5% mean accuracy를 보고한다. 모델 설명도 CNN, LSTM, CNN-LSTM 표현이 섞여 있다. batch size도 64와 128이 함께 등장한다. 아이디어 자체를 무너뜨리는 문제는 아니지만, 재현하려면 구현 세부사항을 다시 확인해야 한다.

셋째, deployment cost가 깊게 다뤄지지 않는다. CNN-LSTM 모델은 offline 또는 centralized pipeline에서는 가능할 수 있다. 그러나 real-time NIDS에서는 latency, throughput, memory, model update 비용이 중요하다.

넷째, interpretability가 제한적이다. 논문은 feature importance를 제시하지만, 실제 보안 분석가는 단순한 attack label 이상을 필요로 한다. 어떤 signal이 alert를 만들었는지, 설명이 안정적인지, drift 상황에서도 믿을 수 있는지까지 알아야 한다.

결론

이 논문은 특정 CNN-LSTM 모델이 NIDS의 최종 답이라는 점을 증명한다기보다는, 좋은 systems security 방향을 다시 확인시켜 준다.

NIDS는 더 context-aware해야 한다.

패킷만으로는 부족하다. 호스트 행동만으로도 부족하다. 흥미로운 지점은 network evidence와 endpoint evidence가 만나는 fusion layer다.

이 아이디어가 더 강해지려면 다음 실험이 필요하다.

1. encrypted traffic과 cloud-native workload를 포함한 현대 데이터셋 평가,
2. real-time streaming pipeline에서의 latency와 throughput 측정,
3. adversarial 또는 evasive attack traffic에 대한 robustness 평가,
4. cross-dataset generalization 실험,
5. alert마다 analyst-facing explanation을 제공하는 구조.

논문의 가장 큰 교훈은 architecture에 있다. network security model은 하나의 관측점에 갇히면 안 된다. 더 나은 탐지는 여러 weak signal을 결합해 공격을 더 풍부한 context에서 보는 방향으로 갈 가능성이 크다.