NetMoniAI: An Agentic AI Framework forNetwork Security & Monitoring

An Agentic AI Framework forNetwork Security & Monitoring.pdf

7.43MB

[개요]

NetMoniAI는 네트워크 보안 및 모니터링을 위한 에이전트(AI 기반) 프레임워크로, 각 네트워크 노드의 자율 에이전트(마이크로서비스)가 현지 트래픽 분석과 이상 탐지를 수행하고, 중앙의 컨트롤러가 여러 노드의 보고와 분석을 통합해 시스템 전체에서 발생하는 공격을 탐지·대응하는 계층형 구조를 가집니다.

 

 

[시스템 구성 및 기능]

@이중 레이어 구조
  - 노드 레벨: 각 네트워크 노드에 경량의 AI 에이전트가 설치되어, 패킷 캡처·이상 탐지·의사결정(LLM 활용)을 자동으로 수행하고, 이를 통해 로컬 레벨에서 신속히 위협을 포착합니다.
  - 중앙 컨트롤러: 여러 노드에서 수집된 이상 트래픽 정보를 집계 및 상관 분석하여, 분산 공격·지능형 공격을 탐지하고 전사적(시스템 전체) 대응을 조율하는 역할을 합니다.

@핵심 기술
  - 패킷·플로우(흐름) 기반 모니터링을 결합하여 정확성과 확장성을 모두 잡음
  - LLM(대형 언어모델, 예: GPT-O3, Gemini Pro) 활용해 네트워크 이벤트에 대한 의미 기반 분석 및 인간이 이해하기 쉬운 요약 제공
  - 구조화된 자동 리포트 작성, 실시간 대시보드, 챗봇 인터페이스 제공
  - 각 노드와 중앙 컨트롤러 모두 단기 메모리(Short-Term Memory)를 유지하여 위협 탐지 및 트렌드 분석 정확도 향상

 

[구현 및 실험 환경]

@노드: FastAPI 기반의 마이크로서비스로, 패킷 캡처(tshark 등), 특징 추출(Scapy), LLM 기반 분류를 비동기적으로 수행. 분석 결과는 JSON 및 요약문 형태로 중앙 컨트롤러에 전송.
@중앙 컨트롤러: 역시 FastAPI로 구현, 각 노드에서 온 리포트를 모아 통합 분석. 대규모 분산공격(DDoS 등), 여러 노드를 동시에 겨냥하는 지능형 패턴 등을 잡아냄. 실시간 대시보드·챗봇 인터페이스를 통해 상태 및 경보 제공.
@테스트 환경: 
  - 실제 Ubuntu 머신에서 네트워크 품질을 조정하며 테스트(지연, 대역폭 제한 등)
  - NS-3 시뮬레이터로 최대 50개 노드로 공격 시나리오(DoS, 포트스캔 등) 실험
  - 실시간 대응성, 탐지 정확도, 분산공격 탐지, 대규모 네트워크 환경에서의 확장성 입증

[실험 결과 및 의의]

- 탐지 지연 5초 이내, 분산 공격(예: DDoS, 동시 포트스캔) 실시간 탐지 가능
- 대쉬보드를 통해 공격자·피해자 실시간 시각화, LLM 기반 정책 추천·조치 제안
- 중앙 컨트롤러는 각 노드의 에이전트 자율성은 유지하며, 조율 및 권고만 수행(명령 강제X)
- 소스코드 및 전체 실험 데이터, 대시보드 등 깃허브에 공개

[결론 및 향후 방향]

- NetMoniAI는 분산 네트워크 환경에서도 확장성, 실시간성, 해석 가능성을 모두 갖춘 하이브리드 AI 보안 프레임워크임을 실험적으로 입증
- 추후 적응형 대응, 다중 에이전트 협업, SDN(소프트웨어 정의 네트워크) 기반 정책 연동 등으로 확장 예정

[출처]
[1] 2508.10052v1.pdf https://ppl-ai-file-upload.s3.amazonaws.com/web/direct-files/attachments/39838290/82e62d6c-3de1-4641-acb4-a3ed03f89fd1/2508.10052v1.pdf