[논문 리뷰] Online Encrypted Skype Identification Based on an Updating Mechanism

Shi Dong|arXiv (Cornell University)|2022. 03. 23.

Internet Traffic Analysis and Secure E-voting인용 수 4

한 줄 요약

이 논문은 샘플링된 플로우 레코드에서 암호화된 Skype 트래픽을 분류하기 위해 온라인 베이지안 업데이트 메커니즘을 사용하는 새로운 네트워크 플로우 식별(NFI) 방법을 제안한다. 확장된 NETFLOW 기능과 빠른 상관 기반 필터(FCBF) 특성 선택을 활용하여, NFI 모델은 94.6%의 F-측정값을 달성하였으며, 정확도 면에서 기존 최고 수준의 방법들을 뛰어넘고 실시간 트래픽 식별에서 오진 및 간과를 줄였다.

ABSTRACT

The machine learning algorithm is gaining prominence in traffic identification research as it offers a way to overcome the shortcomings of port-based and deep packet inspection, especially for P2P-based Skype. However,recent studies have focused mainly on traffic identification based on a full-packet dataset, which poses great challenges to identifying online network traffic. This study aims to provide a new flow identification algorithm by taking the sampled flow records as the object. The study constructs flow records from a Skype set as the dataset, considers the inherent NETFLOW and extended flow metrics as features, and uses a fast correlation-based filter algorithm to select highly correlated features. The study also proposes a new NFI method that adopts a Bayesian updating mechanism to improve the classifier model. The experimental results show that the proposed scheme can achieve much better identification performance than existing state-of-the-art traffic identification methods, and a typical feature metric is analyzed in the sampling environment. The NFI method improves identification accuracy and reduces false positives and false negatives compared to other methods.

연구 동기 및 목표

• 전체 패킷 검사가 비현실적인 실시간 네트워크 환경에서 암호화된 Skype 트래픽을 식별하는 데 도전하는 문제를 해결한다.
• P2P-암호화 트래픽을 탐지하는 데 있어 포트 기반 및 딥 패킷 검사 방법의 한계를 극복한다.
• 완전한 패킷 데이터셋 대신 샘플링된 플로우 레코드를 사용하여 확장 가능하고 온라인 분류 시스템을 개발한다.
• 동적인 네트워크 조건에서 분류 정확도를 향상시키고 오진 및 간과를 줄인다.
• 향후 암호화된 트래픽 식별 분야의 연구를 위한 기준이 되는 SKYPE-SET 데이터셋을 구축한다.

제안 방법

• 실제 Skype 트래픽에서 L7 필터링과 네트워크 플로우 수집을 통해 레이블이 부여된 SKYPE-SET 데이터셋을 구축한다.
• 플로우 지속 시간, 바이트 수, 패킷 크기 비율, 포트 정보 등을 포함한 확장된 NETFLOW 기능을 추출한다.
• 차원 수를 줄이면서도 예측 능력을 유지하기 위해 빠른 상관 기반 필터(FCBF)를 적용하여 가장 유용한 특성들을 선택한다.
• 새로운 플로우 샘플을 점진적으로 반영하여 분류기를 정밀하게 개선하는 온라인 베이지안 업데이트 메커니즘을 기반으로 한 새로운 NFI 모델을 설계한다.
• 다양한 학습 데이터 크기와 플로우 특성에 대해 모델 성능을 평가하기 위해 10겹 교차검증을 사용한다.
• 변화하는 트래픽 패턴에 적응할 수 있도록 업데이트 메커니즘을 통합하여 장기적인 분류 안정성과 정확도를 향상시킨다.

실험 결과

연구 질문

• RQ1 샘플링된 플로우 레코드만을 사용하여 전체 패킷 데이터 없이도 플로우 기반 분류 모델이 암호화된 Skype 트래픽을 높은 정확도로 식별할 수 있는가?
• RQ2 확장된 NETFLOW 메트릭에서 가장 구분력 있는 특성을 선별하는 데 있어 빠른 상관 기반 필터(FCBF)의 효과는 어떠한가?
• RQ3 베이지안 업데이트 메커니즘이 온라인 트래픽 식별에서 분류 정확도를 향상시키고 오진 및 간과를 줄이는 데 얼마나 기여하는가?
• RQ4 F-측정값, 정밀도, 재현율 측면에서 제안된 NFI 방법은 기존 최고 수준의 방법들(예: 나이브 베이즈, K-NN, PSO-RBF, BOF-NB)과 비교해 어떻게 성능을 냈는가?
• RQ5 특정 플로우 특성(예: Lport, BPS, Doublepktratio) 중 어떤 것이 샘플링 환경에서 정확한 Skype 트래픽 분류에 가장 크게 기여하는가?

주요 결과

• 제안된 NFI 방법은 94.6%의 F-측정값을 달성하였으며, 나이브 베이즈(91.9%), K-NN(92.5%), PSO-RBF(93.5%), BOF-NB(93.2%) 방법들을 뛰어넘었다.
• FCBF 특성 선택 알고리즘이 분류에 가장 영향을 미치는 세 가지 특성—Lport(0.711), BPS(0.250), Doublepktratio(0.166)—를 식별하였다.
• NFI 모델은 모든 기준선 방법들보다 오진 및 간과 비율을 더 효과적으로 줄였으며, 특히 플로우 크기가 10~3000개 패킷을 초과할수록 두드러진 성능 향상을 보였다.
• 베이지안 업데이트 메커니즘이 지속적인 모델 정밀도 향상을 가능하게 하여 시간이 지남에 따라 정확도가 향상되고 새로운 트래픽 패턴에 대한 적응성이 향상되었다.
• 단지 16개의 플로우 특성만을 사용하여도 전체 정확도가 96.7%에 도달하여 매우 적은 특성 집합으로도 뛰어난 성능을 보였다.
• 연구 결과, 이중 방향 패킷 길이 비율 및 단위 시간당 바이트 수 등의 플로우 기반 메트릭이 심지어 샘플링 환경에서도 Skype 트래픽을 매우 효과적으로 구분할 수 있음을 확인하였다.