I. 서론

온라인 게임은 WWW(world wide web)과 같이 가장 성공한 인터넷 서비스 중 하나이다. 글로벌 게임 업체 Spil Games의 보고서에 의하면, 2013년 기준 전 세계 온라인 인구의 44%에 해당하는 약 7억 명의 사용자가 온라인 게임을 하는 것으로 나타났다[1]. 글로벌 통계 업체 Statista는 2018년 전세계 온라인 게임 트래픽이 약 월 2,800 페타바이트 (PB) 수준에 이를 것으로 전망하였다[2]. 2016년 한국은 약 41억 9천만 달러의 게임 수익으로 세계 6 위를 기록하였고, 2017년 전 세계 게임 시장은 약 786억 1천만 달러로 평가되었다[3].

최근 온라인 게임 트렌드는 게임을 유료로 배포하는 대신 무료로 게임을 플레이할 수 있도록 허용하고, 유료 아이템을 통해 더 많은 서비스나 편의 기능을 제공하고 있다. 이것을 ‘부분 유료화(free-to-play)’ 모델이라고 한다. 대부분의 경우 유료 서비스를 이용하는 과금 이용자는 좋은 아이템을 획득할 확률이 높고 계정의 성장 속도가 빠르다. 반면 무과금 이용자의 경우 과금 이용자의 계정 성장 수준을 따라잡기 어려우며, 이를 위해서는 많은 시간과 노력을 투자해야한다. 특히 MMORPG(Massively Multiplayer Online Role-Playing Game)는 사전에 계획된 수많은 반복적인 과정을 거쳐야 높은 수준으로 성장하고, 가상 재화를 획득할 수 있도록 설계되어 있다. 이러한 시간 소모적인 노력을 하지 않고 짧은 시간 내에 더 많은 성장과 가상 재화를 획득하기 위해 불법 프로그램을 이용한 부정행위를 하는 이용자가 발생하기 시작하였다.

게임 봇은 사람의 행위를 자동으로 플레이해주는 대표적인 불법 프로그램이다. 게임 봇을 이용하면 쉬는 시간 없이 게임을 플레이하여 정상 이용자보다 많은 양의 재화, 경험치를 획득하고 자신의 계정을 빠르게 성장시킬 수 있다. 뿐만 아니라 게임 봇은 게임 플레이 규칙을 무시하고 불공정한 방법으로 다른 이용자에게 피해를 입힌다. 게임 봇의 이러한 행동은 다른 이용자들에게 부당함을 느끼게 하고 게임을 이탈하게 하는 원인이 될 수 있다[4,5]. 게임 봇이 성행하면 게임 회사 입장에서도 피해가 발생한다. 게임 봇을 사용하는 이용자는 과금을 할 필요가 없기 때문에 유료 모델의 예상 수익을 도달하지 못하게 된다. 또한 최고 레벨에 도달하는 시간이 게임 설계 시 설정한 시간보다 짧기 때문에 최대 레벨의 이용자가 더 이상 즐길 게임 콘텐츠가 없게 되면 게임을 이탈하게 된다. 뿐만 아니라 게임 봇에 대한 모니터링을 강화함에 따라 비용이 증가하게 된다. Castronova는 게임 봇이 회사에 끼치는 손해를 추정하였으며, WoW (World of Warcraft) 의 경우 연간 1,800만 달러의 손해가 있다고 밝혔다[5].

본 논문은 다음과 같이 구성되어 있다. 2장에서는 게임 봇 탐지 관련 기존 연구 사례를 소개한다. 3장에서는 본 논문에서 제안하는 행위 시간 간격 기반 게임 봇 탐지 방법을 소개한다. 4장에서는 제안하는 기법을 실제 게임 데이터로 실험한 결과를 보여주며, 5장에서는 결론과 한계점, 후속 연구 방향에 대해 소개한다.

II. 관련 연구

게임 회사는 이용자의 모든 행위를 로그화 하여 기록하고 있다. 이 로그 데이터를 통해 정상 이용자와 게임 봇 이용자를 구분하고자 노력하고 있다. 현재까지 연구되고 있는 로그 기반 온라인 게임 봇 탐지 기법은 개별행위 관점, 상호작용 행위 관점, 소셜 네트워크 관점, 네트워크 확산 관점 등 크게 4가지로 분류할 수 있다[6].

Thawonmas 등[7]은 정상 이용자에 비해 게임 봇이 같은 행동을 반복하는 경향이 높다는 특징을 이용하여 게임 봇을 탐지하였다. Chen 등[8], Kesteren 등[9], Mitterhofer 등[10]은 정상 이용자보다 게임 봇의 이동 경로가 반복적이라는 특징을 이용하였다. 최근 모바일 게임은 자동 플레이 기능을 제공하기 때문에 위 논문들이 제안한 방법으로는 정상 이용자와 게임 봇을 구분하기 모호한 경우가 발생한다.

Chen 등[11]의 연구에서는 사용자의 최근 200분 동안의 움직임을 20분을 기준으로 idle 과 activity로 분류하고 이를 이용하여 게임 봇을 탐지하였다. 이 방법은 움직임이 없는 게임 봇 또는 4시간 이상 쉬지 않고 플레이하는 이용자를 오탐하는 한계가 있다. Lee 등[12]은 사용자의 행동 시퀀스를 추출하여 정상 이용자와 게임 봇을 구분하였고, Lee 등[13]은 로그의 반복성을 자기 유사성(self-similarity)로 변수화하여 게임 봇을 탐지하였다.

Ahmad 등[14]은 게임 봇의 유형을 ‘gatherer’, ‘banker’, ‘dealer’, ‘marketer’ 로 구분하여 유형별 특징을 분석하고 ‘EverQuest 2’ 게임에 적용하였다. Kang 등[15]은 파티 플레이 로그를 분석하여 게임 봇을 탐지하였다. Chung 등[16]은 먼저 군집화 알고리즘을 이용하여 개인과 그룹 플레이 스타일을 분류하였고, 각 군집별로 게임 봇을 탐지하였다. 이와 같은 기법은 각 군집별로 충분한 양의 데이터를 통한 학습이 선행되어야 한다는 제약이 있다.

Keegan 등[17], Woo 등[18], Kwon 등[19]은 여러 게임 봇이 협업하는 소셜 네트워크 특징을 이용하여 탐지하였다. 이러한 방법은 기존의 학습 데이터로 새로운 게임에 적용할 수 있는 장점이 있으나, 개인이 단독으로 플레이하는 게임 봇 탐지에는 적용하기 어렵다.

Kang 등[20]은 이용자 간의 채팅 메시지를 분석하여 게임 봇을 탐지하였고, Lee 등[21]은 정상 이용자와 게임 봇 이용자의 심리적인 특성을 이용한 방법을 제안하였다.

Kang 등[22]은 플레이어의 information, action, group activities, social interaction 정보, network 정보 등을 종합적으로 사용하여 게임 봇을 탐지한다.

III. 제안하는 방법

본 논문에서는 ATI(Action Time Interval) 기반의 게임 봇 탐지 기법을 제안한다.

정상 이용자의 경우 게임 플레이 도중 여러 가지 요인에 의해서 플레이가 지연되는 경우가 발생한다. 모바일 게임을 플레이 하던 중 전화가 오거나 문자를 확인하는 경우 등에 해당한다. PC 기반의 에뮬레이터에서 게임을 플레이 할 때도 게임 외의 영향(전화, 메시지, 대화 등)에 의하여 행위의 지연이 발생할 수 있다. 반면에 게임 봇은 이러한 환경적인 영향과 관계없이 일정한 ATI를 가질 것으로 예상된다. 특히 12시간 이상 비슷한 ATI로 게임을 플레이할 수 있다는 특징이 있다. 행위 간에 임의의 시간 지연을 추가 하여 정상이용자처럼 보이려고 노력하는 경우도 있으나, 게임 봇을 사용하는 가장 큰 이유는 시간적 효율성을 극대화하는 것이기 때문에 정상 이용자처럼 보이기 위한 ATI를 구성하는데 한계가 있을 것으로 예상된다.

3.1 Target Action Selection

게임 봇은 목적을 달성하기 위한 주요 행위를 반복적으로 수행한다. 이용자가 직접 플레이 하는 것보다 효율적인 이득을 취하기 위해 불필요한 행위를 최소화한다. 따라서 로그를 통해 게임 봇이 많이 수행하는 행위를 추출하여 분석 대상 행위로 선정한다. 게임마다 게임 봇의 특성이 다르고 하나의 게임 안에서도 여러 가지 종류의 게임 봇이 존재하기 때문에 로그 분석을 통해 대상 행위를 선정하면 다양한 게임 봇을 탐지할 수 있다.

3.2 Feature Extraction

게임 봇이 많이 수행하는 행위를 선정한 후, 각 행위의 Time Interval을 추출하고 그 평균과 표준편차를 계산한다. 게임 봇과 정상 이용자의 데이터를 벡터로 구성한다.

3.3 Game Bot Detection

게임 봇을 탐지하기 위해 위에서 선정한 feature를 게임 로그로부터 추출하고, Machine Learning의 Classification 기법을 사용한다. 본 연구에서는 대표적인 Classification 기법인 Logistic Regression, K-nearest neighbor(KNN), Gaussian Naïve Bayes, Random Forest를 적용하였다. 제안한 모델의 성능을 평가하기 위하여 실험을 통해 Accuracy, Precision, Recall, F-measure를 측정하였다.

[표 1]은 실제 정답과 Machine Learning 모델이 예측한 결과를 이용해 만들 수 있는 경우의 수를 나타낸 것이다. 정답이 게임 봇이고 모델이 게임 봇으로 예측한 경우(A)는 True Positives, 정답이 게임 봇이고 모델이 정상 이용자로 예측한 경우(B)는 False Negatives, 정답이 정상 이용자이고 모델이 게임 봇으로 예측한 경우(C)는 False Positives, 마지막으로 정답이 정상 이용자이고 모델이 게임 봇으로 예측한 경우(D)는 True Negatives 라고 한다. A, D는 모델이 정답을 맞힌 개수이고, B, C는 틀린 개수이 다. Accuracy 는 정확도라고 불리며, 전체 정답 중 몇 개를 맞췄는지를 나타낸다.

Table 1. Number of cases matrix

 \(\text { accuracy }=\frac{A+D}{A+B+C+D}\)

일반적인 경우 accuracy 로 성능을 평가할 수 있는데, 본 연구와 같이 정상 이용자의 계정수가 게임 봇 계정의 수보다 압도적으로 많을 때 accuracy 만으로는 정확한 평가를 내릴 수 없다. 예를 들어 검증에 사용되는 데이터 중 정상 이용자가 970개이고 게임 봇이 30개일 때, 모델이 무조건 정상 이용자라고 예측하면 accuracy 는 무려 97% 로 높게 나타나기 때문이다. 따라서 precision, recall, f-measure 를 같이 사용해야 한다. precision(P) 은 모델이 게임 봇으로 예측한 것들 중에 실제로 게임 봇인 것의 비율이다.

\(P=\frac{A}{A+C}\)

recall(R) 은 ‘재현율’ 이라고도 하며 실제 게임 봇 중에 모델이 게임 봇으로 예측한 비율이다.

\(R=\frac{A}{A+B}\)

precision 이 높다는 것은 모델이 게임 봇으로 예측한 경우 이 결과를 신뢰할만하다는 의미이다. recall 이 높다는 것은 게임 봇을 얼마나 잘 탐지하느냐의 의미가 있다. f-measure(F) 는 precision 과 recall 의 조화 평균 값이다. 두 지표가 골고루 높아야 한다는 의미이다.

\(F=\frac{2 P R}{P+R}\)

온라인 게임에서는 존재하는 게임 봇을 모두 탐지하는 것보다 정상 이용자를 게임 봇으로 오인하는 False Positives를 최소화 하는 것이 중요하다. 따라서 가중치를 부여하는 weighted f-measure (F_α)를 사용하고, recall 보다 precision 에 가중치를 부여하기 위해 α = 0.9로 적용하여 제안하는 모델의 성능을 평가하였다.

\(F_{\alpha}=\frac{P R}{(1-\alpha) P+\alpha R}\)

\(F_{0.9}=\frac{P R}{0.1 P+0.9 R}\)

IV. 실험 결과

4.1 Dataset & Environment

본 연구에서는 ‘아이온’ 게임의 실제 로그 데이터를 사용하여 제안하는 방법을 검증하였다. 분석에 사용된 로그는 일주일 데이터 5억 개이고, 해당 기간에 발생한 액션 종류의 개수는 총 146 개다. 이 중 실제로 게임사가 게임 봇으로 제재한 계정을 게임 봇으로 판단하였다. 해당 기간에 관측된 봇 계정은 365개, 정상 이용자 계정은 10,824개이다. 실험 환경은 CPU i7 2.9 GHz, 메모리 16GB 이며 일반적인 Machine Learning 모델을 적용하기 때문에 GPU는 사용하지 않았다.

4.2 Feature Selection

[그림 1]은 데이터 관측 기간 동안 모든 행위를 대상으로 각 행위의 발생 빈도를 나타낸다. 게임 봇의 행위 중 상위 5개 행위가 차지하는 비율이 전체의 76%인 반면에, 정상 이용자의 행위 중 상위 5개 행위가 차지하는 비율은 53% 수준이다. 특히 게임 봇은 경험치 획득(143)을 비롯하여 아이템 관련 행위 (202, 260, 201, 205)의 빈도가 높고, 정상 이용자의 경우 non playable character(NPC) 관련 행위를 유사한 빈도로 수행한다는 것을 관찰할 수 있다. 즉, 게임 봇의 경우 특정 목적을 위한 제한적인 행위를 집중적으로 수행함을 알 수 있다. 따라서 게임 봇이 정상 이용자에 비해 많이 수행하는 행위를 feature 로 사용하면 게임 봇 탐지의 성능을 높일 수 있을 것이라고 기대할 수 있다.

Fig. 1. Occurrence ratio of action

본 논문에서는 대상 행위로 143(경험치 획득), 201(아이템 생성), 202(아이템 획득), 205(아이템 채집), 260(아이템 삭제)을 선정하여 feature로 사용하였다.

[그림 2]는 선정된 행위들이 하루 동안 발생하는 빈도수를 1시간 간격으로 나타낸다. 게임 봇의 경우 아이템 삭제 행위를 제외하고 24시간 내내 60회 이상의 빈도수를 보여준다. 반면 정상 이용자는 전체적으로 행위의 발생이 40회 이하로 적다. 이는 게임 봇과 정상 이용자를 구분할 수 있는 중요한 특성이며, 게임 봇이 정상 이용자보다 시간 대비 효율적인 플레 이를 하고 있음을 실제 데이터를 통해 확인할 수 있다. 게임 봇의 아이템 삭제 행위가 40회 이하로 적게 나타났으나, 정상 이용자는 20회 이하로 더 적게 나타나면서 구분 기준으로 사용할 수 있음을 확인하였다. 또한 정상 이용자의 경우 2시부터 9시보다 10시부터 다음 날 새벽 1시까지의 시간대에 더 많은 플레이를 하고 있다는 자연스러운 결과를 관찰할 수 있다. 이를 통해 게임 봇의 ATI 평균이 더 작을 것으로 예측할 수 있다.

Fig. 2. Action frequency per hour

[그림 3]은 게임 봇과 정상 이용자의 계정들에 대한 ATI 평균과 표준편차의 분포를 나타낸다. 경험치 획득 행위의 경우 게임 봇의 ATI 평균은 5천초 이하, 표준편차는 1만초 이하에 집중되어 있는 반면 정상 이용자의 경우 평균과 표준편차 모두 1만초 이상에도 상당수 분포하고 있다. 200번 대 아이템 관련 행위의 경우 게임 봇에 비해 정상 이용자의 ATI 평균과 표준편차의 분포가 1만초 이상에 고르게 분포하고 있다. 정상 이용자의 경우 게임을 플레이하는 빈도수가 낮아서 ATI 평균이 낮은 것뿐만 아니라, 일정한 주기가 아닌 특정 시간대에 집중적으로 플레이함으로써 ATI 의 표준편차 역시 높게 나타남을 알 수 있다. 이는 게임 봇과 정상 이용자의 ATI 특징이 다르게 나타남을 의미한다.

Fig. 3. Average and Standard Deviation of ATI for each Action

본 연구에서는 위에 선정한 5가지 행위에 대해 24시간 동안의 빈도수, ATI 평균, ATI 표준편차를 feature로 사용하여 게임 봇을 탐지한다.

4.3 Performance Review

[그림 4]는 일주일 데이터(a)와 하루 데이터(b)에 대하여 대표적인 Classification 기법들을 적용하여 게임 봇과 정상 이용자를 분류한 성능을 나타낸다. 일주일 데이터의 경우 4 가지 모델의 accuracy 는 모두 90% 이상이고, Random Forest 모델은 가장 높은 97.4% 로 나타났다. Logistic Regression 모델은 precision 이 72.4%, recall 8.6%, f-measure 41.6% 로 recall과 f-measure 가 낮게 나타났다. KNN 모델은 precision 74.1%, recall 43.4%, f-measure 69.2% 로 recall 이 낮게 나타났다. Gaussian NB 모델은 precision, recall, f-measure 모두 낮게 나타났다. 마지막으로 Random Forest 모델은 precision 100%, recall 42.3%, f-measure 88%로 recall 이 낮은 반면 precision 이 높게 나타났다. 따라서 Random Forest 모델을 적용하면 게임 봇 탐지 결과에 대해 신뢰할 수 있다.

Fig. 4. Performances

하루 데이터를 사용했을 때 가장 성능이 좋은 Random Forest 모델의 경우 accuracy 97.7%, precision 100%, recall 50%, f-measure 90.9% 로 모두 일주일 데이터를 사용했을 때와 유사한 성능을 보였으며 오히려 다소 높은 수치가 나타났다. 이는 본 연구에서 제안하는 방법은 하루 데이터만으로 장기간에 걸쳐 수집한 로그를 이용하는 것과 유사한 성능으로 게임 봇을 탐지할 수 있음을 의미한다.

V. 결론

본 논문에서는 행위 시간 간격 기반의 게임 봇 탐지 기법을 제안하였다. 이 방법은 캐릭터의 움직임 등 특정 행위에 한정되지 않고 이용자의 모든 행위 이벤트를 기반으로 대상 행위를 설정한다. 따라서 게임 안에서 움직임이 적은 봇, 소셜 관련 행위를 주로 하는 봇, 작업장 봇 등 특정 목적에 국한되지 않는 다양한 게임 봇 탐지에 적용 가능하다. 학습 설정에 따라 짧으면 24시간의 데이터만을 사용하고, 계산적으로 구하기 쉬운 feature를 사용함으로써 짧은 시간 안에 게임 봇을 탐지할 수 있고 봇의 패턴 변화에 빠르게 대응할 수 있다. ‘AION’ 게임의 실제 데이터를 사용함으로써 제안하는 방법이 효과가 있음을 보였다.

다만 24시간 이상의 축적된 데이터를 사용하기 때문에 FPS 장르의 게임과 같이 단시간에 한 게임이 끝나는 경우 적용하기 어렵고, MMORPG 장르 같은 지속적인 게임에서 게임 봇이 일정 시간 이하로 동작하는 경우 탐지하기 어렵다.

게임 봇이 많이 하는 행위를 분석하여 대상 행위로 선정하기 때문에 게임 출시 초기에 게임 봇에 대한 정답지가 없는 경우 그대로 적용하기 어렵다는 한계가 있다. 이러한 경우 본 연구에서와 같이 게임에서 지속적인 시간 동안의 플레이를 요구하는 경험치 획득, 아이템 획득과 같은 행위를 먼저 대상 행위로 선정해볼 수 있다.

향후에는 이 기법을 리니지2, B&S 등 다양한 게임에 적용하여 제안하는 방법의 효용성을 검증하고자 한다. 또한 게임 봇을 유형별로 구분하고 대상 행위를 각각 선정하여 탐지하는 복합 모델로 확장할 수 있다. 각 게임별로 대상 행위만 다를 뿐, feature 와 model을 그대로 사용하여도 본 논문과 유사한 성능을 예상할 수 있다. 그리고 시간 흐름에 따른 대상 행위의 변화와 그에 따른 모델 재학습 프로세스를 정의하여 Model Maintenance Framework를 연구하고 실제로 구현하여 게임 회사에 적용할 수 있는 수준으로 구체화하고자 한다.