[论文解读] Classification of Traffic Using Neural Networks by Rejecting: a Novel Approach in Classifying VPN Traffic

Ali Parchekani, Salar Nouri+2 more|arXiv (Cornell University)|Jan 10, 2020

Internet Traffic Analysis and Secure E-voting被引用 5

一句话总结

该论文提出了一种新颖的端到端级联神经网络方法，结合多层感知机（MLP）和长短期记忆（LSTM）网络，并采用拒绝策略，用于分类加密的VPN流量。通过联合学习特征提取、特征选择和分类，基于类别得分与类别中心的距离，该方法实现了95%的准确率——超越了当前最先进模型——并有效区分加密流量，识别应用类型。

ABSTRACT

In this paper, we introduce a novel end-to-end traffic classification method to distinguish between traffic classes including VPN traffic in three layers of the Open Systems Interconnection (OSI) model. Classification of VPN traffic is not trivial using traditional classification approaches due to its encrypted nature. We utilize two well-known neural networks, namely multi-layer perceptron and recurrent neural network to create our cascade neural network focused on two metrics: class scores and distance from the center of the classes. Such approach combines extraction, selection, and classification functionality into a single end-to-end system to systematically learn the non-linear relationship between input and predicted performance. Therefore, we could distinguish VPN traffics from non-VPN traffics by rejecting the unrelated features of the VPN class. Moreover, we obtain the application type of non-VPN traffics at the same time. The approach is evaluated using the general traffic dataset ISCX VPN-nonVPN, and an acquired dataset. The results demonstrate the efficacy of the framework approach for encrypting traffic classification while also achieving extreme accuracy, $95$ percent, which is higher than the accuracy of the state-of-the-art models, and strong generalization capabilities.

研究动机与目标

• 为解决使用传统方法难以分类加密VPN流量的问题，因为其在数据包级别被加密。
• 通过将特征提取、选择与分类整合到单一端到端学习框架中，克服传统分而治之方法在流量分类中的局限性。
• 提高加密流量分类的准确率与泛化能力，特别是在区分VPN与非VPN流量以及识别应用类型方面。
• 在公开数据集（ISCX VPN-nonVPN）和真实ISP收集的数据集上评估所提出方法，以验证其鲁棒性与性能。

提出的方法

• 该框架采用级联神经网络架构，结合多层感知机（MLP）和长短期记忆（LSTM）循环神经网络，分层处理流量流。
• 拒绝策略基于两个指标评估输入样本：类别得分（预测置信度）和与预测类别中心的距离，从而拒绝无关或模糊的特征。
• 模型通过两个损失函数——基于得分的损失和基于距离的损失——进行端到端训练，使用Adam优化器，并通过验证集调整超参数。
• 通过深度网络结构隐式学习特征工程，无需手动进行特征选择或预处理。
• 系统在单一统一模型中联合执行特征提取、选择与分类，减少误差传播并提升非线性关系建模能力。
• 使用超参数μ=0.85、λ=0.70、η=0.40和δ=0.30定义拒绝阈值，确保模型鲁棒性与泛化能力。

实验结果

研究问题

• RQ1 具有拒绝机制的级联神经网络是否能优于传统分而治之方法，在加密VPN流量分类中表现更优？
• RQ2 端到端学习中联合执行特征提取与分类，在加密流量分类中是否能显著提升准确率与泛化能力？
• RQ3 基于类别得分与类别中心距离的拒绝策略，在过滤无关或模糊的流量特征方面效果如何？
• RQ4 所提出方法在多样化流量类型（如聊天、邮件、FTP、流媒体、VoIP及加密VPN流量）中是否保持高性能？
• RQ5 在准确率、精确率、召回率和F1值方面，该模型与当前最先进端到端学习模型相比表现如何？

主要发现

• 所提出的级联神经网络结合拒绝机制在测试中达到95%的准确率，显著优于当前最先进E2E模型（86%），提升8个百分点。
• 基于距离的方法表现最佳，VPN流量的F1值达0.93，精确率为0.94，召回率为0.93，表明其具备强大的检测能力。
• 该模型展现出优越的泛化能力，在所有流量类型中均保持高精确率与高召回率，包括FTP和VoIP等具有挑战性的类别。
• 基于距离的方法优于基于得分的方法（准确率仅90%），验证了基于距离拒绝策略的有效性。
• 与当前最先进EE-CNN模型相比，该模型在召回率上提升1.4%，F1值提升0.4%，表明其对正样本的检测能力更强。
• 该框架成功将非VPN流量分类为应用类型（如邮件、流媒体），同时识别加密VPN流量，展现出双重功能。