[논문 리뷰] TemporalFED: Detecting Cyberattacks in Industrial Time-Series Data Using Decentralized Federated Learning

Ángel Luis Perales Gómez, Enrique Tomás Martínez Beltrán외 2명|arXiv (Cornell University)|2023. 08. 07.

Network Security and Intrusion DetectionComputer Science인용 수 3

한 줄 요약

이 논문은 시간시계열 변환, DFT 및 자기상관을 통한 특징 공학, 정상성 변환을 통합하여 산업 시간시계열 데이터에서 사이버 공격을 탐지하기 위한 탈중앙화된 피에드러티드 학습 프레임워크인 TemporalFED를 제안한다. 완전히 연결된 토포로지에서 반준중심형 FL을 사용할 경우 0.9406의 F1 스코어를 달성하며, 중앙집중형 및 기타 탈중앙형 구성보다 뛰어난 성능을 보이며, 특징 공학을 생략했을 때 자원 소비를 최소화한다.

ABSTRACT

Industry 4.0 has brought numerous advantages, such as increasing productivity through automation. However, it also presents major cybersecurity issues such as cyberattacks affecting industrial processes. Federated Learning (FL) combined with time-series analysis is a promising cyberattack detection mechanism proposed in the literature. However, the fact of having a single point of failure and network bottleneck are critical challenges that need to be tackled. Thus, this article explores the benefits of the Decentralized Federated Learning (DFL) in terms of cyberattack detection and resource consumption. The work presents TemporalFED, a software module for detecting anomalies in industrial environments using FL paradigms and time series. TemporalFED incorporates three components: Time Series Conversion, Feature Engineering, and Time Series Stationary Conversion. To evaluate TemporalFED, it was deployed on Fedstellar, a DFL framework. Then, a pool of experiments measured the detection performance and resource consumption in a chemical gas industrial environment with different time-series configurations, FL paradigms, and topologies. The results showcase the superiority of the configuration utilizing DFL and Semi-Decentralized Federated Learning (SDFL) paradigms, along with a fully connected topology, which achieved the best performance in anomaly detection. Regarding resource consumption, the configuration without feature engineering employed less bandwidth, CPU, and RAM than other configurations.

연구 동기 및 목표

• 산업 사이버 공격 탐지에 대한 중앙집중형 피에드러티드 학습(CFL)의 단일 장애 지점과 네트워크 병목 현상을 해결하기 위해.
• 데이터 프라이버시를 유지하면서 탈중앙형 피에드러티드 학습(DFL)을 통해 산업 시간시계열 데이터에서 효과적인 이상 탐지 기능을 제공하기 위해.
• 다양한 FL 철학(DFL, SDFL, CFL), 토포로지, 시간시계열 처리 구성에 따른 성능 및 자원 소비의 상호 교환 관계를 평가하기 위해.
• 탈중앙형 피에드러티드 학습 환경에서 산업 이상 탐지에 특화된 모듈식 시간시계열 처리 파이프라인인 TemporalFED를 개발하고 검증하기 위해.
• 산업 IoT 환경에서 고정확도, 저오버헤드 사이버 공격 탐지의 최적 구성에 대한 경험적 통찰을 제공하기 위해.

제안 방법

• TemporalFED는 산업용 표준 데이터를 딥러닝 모델에 적합한 시간시계열 형식으로 변환하여 처리한다.
• 시간시계열 데이터에서 구분 가능한 시간적 특징을 추출하기 위해 이산 푸리에 변환(DFT)과 자기상관(AC)을 적용한다.
• 일반화 및 학습 안정성을 향상시키기 위해 추세 및 계절성 성분을 제거하여 시간시계열의 정상성 조건을 강제로 적용한다.
• 프레임워크는 중앙 집중형 파rameter 서버 없이도 학습이 가능한 탈중앙형 FL 플랫폼인 Fedstellar에 통합된다.
• 실험은 지리적으로 분산된 실제 산업 시나리오를 시뮬레이션하기 위해 테네시 이스트먼 산업 공정 시뮬레이터를 사용하여 수행된다.
• 성능 평가가 수행되며, FL 철학(DFL, SDFL, CFL), 토포로지(완전히 연결된 구조, 링, 스타), 구성 요소 사용(시간시계열 변환, 특징 공학, 정상성 변환)을 다양하게 조합한 총 20개의 구성에서 수행된다.

실험 결과

연구 질문

• RQ1 산업 시간시계열 데이터에서 이상 탐지 성능을 고려할 때, 중앙집중형, 탈중앙형, 반준중심형 중 어떤 FL 철학이 가장 높은 성능을 낼 수 있는가?
• RQ2 다양한 네트워크 토포로지(완전히 연결된 구조, 링, 스타)는 탈중앙형 FL 환경에서 탐지 정확도와 자원 소비에 어떤 영향을 미치는가?
• RQ3 시간시계열 전처리 구성 요소(변환, 특징 공학, 정상성)는 탐지 성능과 시스템 자원 사용에 어떤 영향을 미치는가?
• RQ4 특징 공학의 포함 여부는 피에드러티드 학습 중 대역폭, CPU, RAM 소비에 어떤 영향을 미치는가?
• RQ5 산업 사이버 공격 탐지에서 높은 탐지 정확도와 낮은 계산 오버헤드를 동시에 확보하기 위해 TemporalFED의 최적 구성은 무엇인가?

주요 결과

• 완전히 연결된 토포로지에서 반준중심형 피에드러티드 학습(SDFL) 철학이 0.9406의 최고 F1 스코어를 기록하여 다른 구성보다 뛰어난 성능을 보였다.
• 완전히 연결된 토포로지에서 탈중앙형 피에드러티드 학습(DFL) 철학도 F1 스코어 0.9405를 기록하여 SDFL에 근접한 뛰어난 성능을 보였다.
• 특징 공학을 생략한 구성은 대역폭, CPU(일관되게 80%), RAM(10–15%)를 가장 적게 소비하여 더 낮은 자원 오버헤드를 나타냈다.
• 링 토포로지와 전체 구성 요소 사용을 적용한 DFL은 최대 30%의 RAM을 소비했으며, 유사한 설정에서 중앙집중형 철학(CFL)은 DFL보다 RAM 소비가 적었다.
• 모든 구성에서 CPU 사용률이 약 80%로 일관되게 높았으며, 특징 공학 구성 요소는 더 긴 CPU 활용 시간을 유발했다.
• 반준중심형 철학과 완전히 연결된 토포로지에서 특징 공학만을 사용하는 구성은 학습 전반에 걸쳐 안정적이고 일정한 CPU 사용률을 유지했다.