[논문 리뷰] Mobile Traffic Classification through Physical Channel Fingerprinting: a Deep Learning Approach

Hoang Duy Trinh, Ángel Fernández Gambı́n외 3명|arXiv (Cornell University)|2019. 10. 25.

Internet Traffic Analysis and Secure E-voting인용 수 6

한 줄 요약

이 논문은 운영 중인 LTE 네트워크의 물리계층 신호—특히 LTE 물리계층 다운링크 제어 채널(PDCCH)에서 디코딩한 다운링크 제어 정보(DCI) 메시지—를 사용하여 실시간 모바일 트래픽 분류를 위한 딥러닝 기반 프레임워크를 제안한다. 비라벨링된 실제 DCI 데이터를 기반으로 컨볼루션 신경망(CNN)을 활용함으로써, 애플리케이션 계층 데이터나 암호 해독 키에 접근하지 않고도 온라인으로 비지도 학습을 통해 세분화된 트래픽 분해를 가능하게 하며, 분류 정확도는 99%에 도달한다.

ABSTRACT

The automatic classification of applications and services is an invaluable feature for new generation mobile networks. Here, we propose and validate algorithms to perform this task, at runtime, from the raw physical channel of an operative mobile network, without having to decode and/or decrypt the transmitted flows. Towards this, we decode Downlink Control Information (DCI) messages carried within the LTE Physical Downlink Control CHannel (PDCCH). DCI messages are sent by the radio cell in clear text and, in this paper, are utilized to classify the applications and services executed at the connected mobile terminals. Two datasets are collected through a large measurement campaign: one labeled, used to train the classification algorithms, and one unlabeled, collected from four radio cells in the metropolitan area of Barcelona, in Spain. Among other approaches, our Convolutional Neural Network (CNN) classifier provides the highest classification accuracy of 99%. The CNN classifier is then augmented with the capability of rejecting sessions whose patterns do not conform to those learned during the training phase, and is subsequently utilized to attain a fine grained decomposition of the traffic for the four monitored radio cells, in an online and unsupervised fashion.

연구 동기 및 목표

• 운영 중인 LTE 네트워크의 물리계층 신호만을 사용하여 비침습적이고 실시간으로 모바일 애플리케이션 및 서비스를 분류할 수 있도록 하는 것.
• 수동적인 특징 엔지니어링이나 애플리케이션/IP 계층 데이터에 의존하는 기존 트래픽 분류 방법의 한계를 극복하는 것.
• 실제 무선 셀 배포 환경에서 알려지지 않은 트래픽 패턴을 탐지할 수 있는 강력하고 온라인 기반의 분류 시스템을 개발하는 것.
• 모바일 네트워크 분석 및 엣지 컴퓨팅 분야의 향후 연구를 위해 연구자들에게 라벨링된 및 라벨링되지 않은 실제 DCI 트레이스 데이터셋을 제공하는 것.
• 제어 채널 데이터를 활용한 세분화된 트래픽 모니터링의 가능성과 잠재적 개인정보 유출 위험을 탐색하는 것.

제안 방법

• LTE 물리계층 다운링크 제어 채널(PDCCH)에서 전송되는, 스케줄링 및 리소스 할당 정보를 담고 있는 클리어 텍스트로 전송되는 다운링크 제어 정보(DCI) 메시지를 디코딩하는 것.
• 학습용 분류기 훈련을 위한 라벨링된 데이터셋과, 바르셀로나의 네 개의 운영 중인 무선 셀에서 확보한 라벨링되지 않은 데이터셋을 수집하는 것.
• DCI 데이터에 대해 다층 퍼셉트론(MLP), 순환 신경망(RNN), 컨볼루션 신경망(CNN) 등의 다양한 딥 뉴럴 네트워크 아키텍처를 훈련하고 비교하는 것.
• 학습된 트래픽 클래스에 부합하지 않는 입력 패턴을 식별하고 거부할 수 있도록 CNN 분류기에 이상 탐지 메커니즘을 통합하는 것.
• 훈련 및 보강된 CNN 모델을 온라인 비지도 학습 방식으로 적용하여 네 개의 모니터링된 무선 셀에서 세분화된 트래픽 분해를 수행하는 것.
• TCP/UDP 포트, 패킷 크기 또는 애플리케이션 계층 프로토콜 정보에 의존하지 않고, 원시 DCI 신호 패턴을 입력 특징으로 사용하는 것.

실험 결과

연구 질문

• RQ1 애플리케이션 계층 데이터에 접근하지 않고도, 제어 채널 신호(DCI 메시지)를 사용하여 모바일 애플리케이션 및 서비스를 정확하게 분류할 수 있는가?
• RQ2 기존의 특징 기반 방법에 비해, 원시 DCI 신호에 대한 딥러닝 기반 분류의 정확도와 내구성은 어떻게 비교되는가?
• RQ3 딥 뉴럴 네트워크는 실제 LTE 환경에서 알려지지 않은 또는 이질적인 트래픽 패턴을 어느 정도 탐지할 수 있는가?
• RQ4 실제로 수집된 라벨링되지 않은 DCI 데이터를 사용하여 운영 네트워크에서 온라인 비지도 트래픽 분석을 수행하는 데의 실현 가능성과 성능은 어떠한가?
• RQ5 DCI 기반 트래픽 분류가 네트워크 모니터링, 연구 활동 및 잠재적 개인정보 유출 위험에 미치는 영향은 무엇인가?

주요 결과

• 컨볼루션 신경망(CNN) 분류기가 라벨링된 데이터셋에서 99%의 최고 정확도를 기록하며, MLP 및 RNN 모델을 모두 압도했다.
• 이상 탐지 기능이 통합된 CNN 모델은 알려진 트래픽 클래스에 부합하지 않는 입력 패턴을 성공적으로 식별하고 거부하여 실시간 배포 환경에서의 내구성을 향상시켰다.
• 이 프레임워크는 스펙트럼 분석 기반으로 바르셀로나의 네 개의 실제 LTE 무선 셀에서 통신 세션의 세분화된 온라인 트래픽 분해를 수행하였으며, 시간 해상도는 1초였다.
• 본 연구는 두 가지 유용한 데이터셋을 생성하였으며, 하나는 학습용 라벨링된 데이터셋이고, 다른 하나는 비지도 분석용 라벨링되지 않은 데이터셋이며, 모두 실제 네트워크 배포 환경에서 유래하였다.
• 결과적으로 물리계층 신호(DCI)는 암호 해독이나 고위 계층 프로토콜에 대한 접근 없이도 정확한 애플리케이션 및 서비스 분류에 충분한 구분 특징을 내포하고 있음을 입증하였다.
• 이 접근법은 개인정보 유출 위험을 드러내며, 실제 데이터 페이로드에 접근하지 않더라도 제어 채널 데이터만으로도 트래픽 패턴을 유추할 수 있음을 보여준다.