[論文レビュー] Deep Packet: A Novel Approach For Encrypted Traffic Classification Using Deep Learning

Mohammad Nader Lotfollahi, Ramin Shirali Hossein Zade+2 more|arXiv (Cornell University)|Sep 8, 2017

Internet Traffic Analysis and Secure E-voting被引用数 115

ひとこと要約

Deep PacketはCNNとスタックドオートエンコーダを用いて、暗号化トラフィックのアプリケーション識別とトラフィック特性の両方を実行し、ISCX VPN-nonVPNデータセットで最先端の結果を達成します。

ABSTRACT

Internet traffic classification has become more important with rapid growth of current Internet network and online applications. There have been numerous studies on this topic which have led to many different approaches. Most of these approaches use predefined features extracted by an expert in order to classify network traffic. In contrast, in this study, we propose a \\emph{deep learning} based approach which integrates both feature extraction and classification phases into one system. Our proposed scheme, called "Deep Packet," can handle both \\emph{traffic characterization} in which the network traffic is categorized into major classes (\\eg, FTP and P2P) and application identification in which end-user applications (\\eg, BitTorrent and Skype) identification is desired. Contrary to most of the current methods, Deep Packet can identify encrypted traffic and also distinguishes between VPN and non-VPN network traffic. After an initial pre-processing phase on data, packets are fed into Deep Packet framework that embeds stacked autoencoder and convolution neural network in order to classify network traffic. Deep packet with CNN as its classification model achieved recall of $0.98$ in application identification task and $0.94$ in traffic categorization task. To the best of our knowledge, Deep Packet outperforms all of the proposed classification methods on UNB ISCX VPN-nonVPN dataset.

研究の動機と目的

• 暗号化されたネットワークトラフィックを手作業の特徴量設計なしで分類する課題に対処する。
• 統一された深層学習フレームワークを開発し、アプリケーション識別とトラフィック特性の両方を処理する。
• VPN vs 非VPNトラフィックを区別し、エンドユーザーのアプリケーションを特定する能力を示す。
• ISCX VPN-nonVPNデータセットで性能を評価し、従来手法と比較する。

提案手法

• Ethernetヘッダを除去し、ペイロードを固定の1500バイト入力に正規化し、IPアドレスをマスクして、パケットデータを事前処理する。
• 特徴抽出用の1次元CNNと教師なし特徴学習を行いその後softmax分類を行うスタックドオートエンコーダ（SAE）の2つの深層学習アーキテクチャを使用する。
• 貪欲なレイヤー-wise事前学習とファインチューニングでSAEを訓練し、過学習を防ぐためのドロップアウトとバッチ正規化を適用する。
• 2つの畳み込み層、プーリング、およびドロップアウトを含む3層の全結合ネットワークを備えたCNNを訓練し、その後softmax分類を適用する。
• 再現率、適合率、F1スコアで評価し、CNNのハイパーパラメータをグリッドサーチして精度とモデルの複雑さのバランスを取る。

実験結果

リサーチクエスチョン

• RQ1 ディープラーニングは手作業の特徴量設計なしでパケットレベルデータから識別的な特徴を自動抽出できるか。
• RQ2 Deep Packetは暗号化トラフィック（VPNおよび非VPNのシナリオを含む）に対してアプリケーション識別とトラフィック特性の両方を同時に行えるか。
• RQ3 CNNとSAEはISCX VPN-nonVPNデータセット上の暗号化トラフィック分類の精度でどのように比較されるか。
• RQ4 プロトコルの難読化と暗号化の下で、モデルはP2Pや他の困難なアプリケーションを効果的に識別できるか。

主な発見

• CNNはISCX VPN-nonVPNデータセットにおいてアプリケーション識別で加重平均F1=0.98、トラフィック特性分類で加重平均F1=0.93を達成した。
• SAEはアプリケーション識別で加重平均F1=0.95、トラフィック特性分類で加重平均F1=0.92を達成した。
• アプリケーション識別タスクでは、Netflix、Torrent、YouTubeなどのいくつかのクラスでほぼ完璧な性能を達成。
• トラフィック特性分類タスクでは、ほとんどのクラスで高いリコールと適合率を達成し、CNNはSAEを上回るまたは同等となることが多かった。
• 本研究はDeep Packetが同データセット上で両タスクの従来手法を上回ることを報告しており、フロー特徴量よりもパケットレベルの深層学習の利点を強調している。