[논문 리뷰] Deep Learning for Network Traffic Classification

Niloofar Bayat, W Jackson외 1명|arXiv (Cornell University)|2021. 06. 02.

Internet Traffic Analysis and Secure E-voting참고 문헌 11인용 수 11

한 줄 요약

이 논문은 SNI(서비스 이름)를 암호화된 TLS 패킷 시퀀스만을 사용하여 분류하는 앙상블 딥러닝 모델을 제안한다. SNI나 복호화된 페이로드에 의존하지 않으며, 패킷, 페이로드, 상호 도착 시간 특징에 대한 CNN-RNN 아키텍처를 조합하여 최신 기술 수준의 정확도를 달성한다.

ABSTRACT

Monitoring network traffic to identify content, services, and applications is an active research topic in network traffic control systems. While modern firewalls provide the capability to decrypt packets, this is not appealing for privacy advocates. Hence, identifying any information from encrypted traffic is a challenging task. Nonetheless, previous work has identified machine learning methods that may enable application and service identification. The process involves high level feature extraction from network packet data then training a robust machine learning classifier for traffic identification. We propose a classification technique using an ensemble of deep learning architectures on packet, payload, and inter-arrival time sequences. To our knowledge, this is the first time such deep learning architectures have been applied to the Server Name Indication (SNI) classification problem. Our ensemble model beats the state of the art machine learning methods and our up-to-date model can be found on github: \url{https://github.com/niloofarbayat/NetworkClassification}

연구 동기 및 목표

• 딥러닝이 SNI(HTTPS 서비스 이름)를 SNI나 복호화된 페이로드에 접근하지 않고도 암호화된 TLS 패킷 데이터만으로 정확하게 분류할 수 있는지 조사한다.
• 측면 채널 트래픽 특성에서 세부 서비스(예: maps.google.com 대비 drive.google.com)를 식별하는 데에 깊이 있는 신경망의 효과를 평가한다.
• 실제 환경 제약 조건 하에서 전통적인 기계학습 방법(예: 랜덤 포레스트, SVM)과의 비교를 통해 딥러닝 모델의 성능을 평가한다.
• 방향성 특징과 가중치가 부여된 앙상블 기법과 같은 아키텍처 개선을 통해 모델의 강건성과 정확도를 향상시키는 것을 탐색한다.

제안 방법

• 패킷 크기, 페이로드 크기, 상호 도착 시간의 세 가지 종류의 암호화된 TLS 트래픽 시퀀스에 대해 별도의 CNN-RNN 아키텍처를 훈련시킨다.
• 각 개별 CNN-RNN 모델의 Softmax 출력을 동일한 가중치로 조합하는 후기 융합 앙상블 전략을 적용한다.
• 헤더나 복호화된 페이로드 정보를 피하기 위해 패킷 시퀀스에서 유도된 통계적 특징을 딥러닝 모델의 입력으로 사용한다.
• 다양한 연결 패턴과 최소 연결 임계값에 대한 일반화 능력을 향상시키기 위해 데이터 증강 및 정규화 기법을 적용한다.
• 방향성 특징(클라이언트-서버 대비 서버-클라이언트)을 포함한 통제된 분석 실험을 통해 그 분류 정확도에 미치는 영향을 평가한다.
• 실제 HTTPS 트레이스 데이터셋(정답으로 SNI를 제공)을 사용하여 성능을 검증함으로써 실용적 구현 환경과의 일치를 확보한다.

실험 결과

연구 질문

• RQ1 딥러닝 모델이 SNI(HTTPS 서비스 이름)를 SNI나 페이로드 복호화 없이도 암호화된 TLS 패킷 시퀀스만으로 정확하게 예측할 수 있는가?
• RQ2 딥러닝 기반 SNI 분류의 성능은 Random Forest나 SVM과 같은 최신 기술 수준의 기계학습 방법과 비교해 어떻게 되는가?
• RQ3 패킷 크기, 페이로드 크기, 상호 도착 시간과 같은 개별 트래픽 특징이 전체 분류 정확도에 기여하는 정도는 어떠한가?
• RQ4 방향성 특징(예: 흐름 방향)의 포함 여부가 다양한 최소 연결 임계값에서 모델 성능에 영향을 미치는가?
• RQ5 아키텍처 앙상블 및 특징 가중치 부여 전략이 추가로 모델 정확도와 강건성을 향상시킬 수 있는가?

주요 결과

• 제안된 앙상블 딥러닝 모델은 기존 기계학습 방법(랜덤 포레스트, SVM 등)을 능가하는 최신 기술 수준의 정확도를 달성한다.
• 상호 도착 시간 시퀀스에 대해 훈련된 CNN-RNN 아키텍처는 개별 정확도가 낮음에도 불구하고, 시간 패턴에 민감한 특성 덕분에 앙상블에 고유한 기여를 한다.
• 입력 시퀀스에 방향성 특징을 추가하면 다양한 최소 연결 임계값에서 성능 향상이 일관되게 이루어지지 않아 제한된 일반화 이점을 보인다.
• CNN-RNN 출력을 가중치가 부여된 방식으로 앙상블하면 일관된 성능 향상이 나타나지 않아, 이 아키텍처에 대해 동일한 가중치가 합리적인 기준이 된다.
• 낮은 연결 임계값 조건에서도 높은 정확도를 유지함으로써, 짧은 수명 또는 희박한 연결에 대해 강건함을 입증한다.
• 본 연구는 암호화된 TLS 트래픽을 통해 상당한 측면 채널 정보가 泄露됨을 확인하였으며, 이는 SNI나 페이로드 접근 없이도 고정확도의 서비스 식별이 가능함을 의미한다.