[论文解读] Deep Packet: A Novel Approach For Encrypted Traffic Classification Using Deep Learning

Mohammad Nader Lotfollahi, Ramin Shirali Hossein Zade+2 more|arXiv (Cornell University)|Sep 8, 2017

Internet Traffic Analysis and Secure E-voting被引用 115

一句话总结

Deep Packet 使用 CNN 和堆叠自编码器对加密流量进行应用识别和流量特征描述，在 ISCX VPN-nonVPN 数据集上取得了最先进的结果。

ABSTRACT

Internet traffic classification has become more important with rapid growth of current Internet network and online applications. There have been numerous studies on this topic which have led to many different approaches. Most of these approaches use predefined features extracted by an expert in order to classify network traffic. In contrast, in this study, we propose a \\emph{deep learning} based approach which integrates both feature extraction and classification phases into one system. Our proposed scheme, called "Deep Packet," can handle both \\emph{traffic characterization} in which the network traffic is categorized into major classes (\\eg, FTP and P2P) and application identification in which end-user applications (\\eg, BitTorrent and Skype) identification is desired. Contrary to most of the current methods, Deep Packet can identify encrypted traffic and also distinguishes between VPN and non-VPN network traffic. After an initial pre-processing phase on data, packets are fed into Deep Packet framework that embeds stacked autoencoder and convolution neural network in order to classify network traffic. Deep packet with CNN as its classification model achieved recall of $0.98$ in application identification task and $0.94$ in traffic categorization task. To the best of our knowledge, Deep Packet outperforms all of the proposed classification methods on UNB ISCX VPN-nonVPN dataset.

研究动机与目标

• 解决在无需人工特征工程的情况下对加密网络流量进行分类的挑战。
• 开发一个统一的深度学习框架，同时处理应用识别和流量特征描述。
• 展示区分 VPN 与非 VPN 流量并识别终端用户应用的能力。
• 在 ISCX VPN-nonVPN 数据集上评估性能并与现有方法比较。

提出的方法

• 对数据包进行预处理：移除以太网头部、将有效载荷归一化为固定的 1500 字节输入，并屏蔽 IP 地址。
• 使用两种深度学习架构：一维卷积神经网络用于特征提取，堆叠自编码器（SAE）用于无监督特征学习，随后进行 softmax 分类。
• 对 SAE 进行贪婪层级逐层预训练和微调；应用 dropout 和批量归一化以防止过拟合。
• 训练一个包含两层卷积、池化，以及一个三层全连接网络并带有 dropout 的 CNN，随后进行 softmax 分类。
• 使用召回率、精确率和 F1 分数进行评估；对 CNN 超参数进行网格搜索以在准确性和模型复杂度之间取得平衡。

实验结果

研究问题

• RQ1 深度学习是否能够在不进行人工特征工程的情况下，从分组级数据中自动提取判别特征用于流量分类？
• RQ2 Deep Packet 是否能够对包括 VPN 和非 VPN 情况在内的加密流量同时执行应用识别和流量特征描述？
• RQ3 在 ISCX VPN-nonVPN 数据集上，CNN 和 SAE 在加密流量分类的准确性方面的比较如何？
• RQ4 在协议混淆和加密情况下，模型是否能够有效地区分 P2P 和其他具有挑战性的应用？

主要发现

• CNN 在 ISCX VPN-nonVPN 数据集上用于应用识别的加权平均 F1 为 0.98，用于流量特征描述的为 0.93。
• SAE 在应用识别上的加权平均 F1 为 0.95，在流量特征描述上的为 0.92。
• 在应用识别任务中，若干类别（如 Netflix、Torrent、YouTube 等）获得了接近完美的表现。
• 在流量特征描述任务中，大多数类别达到了较高的召回率和精确率，CNN 常常等同于或超过 SAE。
• 研究报告称，Deep Packet 在同一数据集的两个任务上均优于先前的方法，突出显示了基于分组级深度学习相对于手工特征的优势。