[论文解读] Online Encrypted Skype Identification Based on an Updating Mechanism

Shi Dong|arXiv (Cornell University)|Mar 23, 2022

Internet Traffic Analysis and Secure E-voting被引用 4

一句话总结

本文提出了一种新颖的网络流识别（NFI）方法，采用在线贝叶斯更新机制，以提升从采样流记录中对加密Skype流量的分类性能。通过利用扩展的NETFLOW特征和基于快速相关性的过滤（FCBF）特征选择方法，NFI模型实现了94.6%的F1值，显著优于现有最先进方法，在准确率方面表现更优，同时有效降低了实时流量识别中的误报和漏报率。

ABSTRACT

The machine learning algorithm is gaining prominence in traffic identification research as it offers a way to overcome the shortcomings of port-based and deep packet inspection, especially for P2P-based Skype. However,recent studies have focused mainly on traffic identification based on a full-packet dataset, which poses great challenges to identifying online network traffic. This study aims to provide a new flow identification algorithm by taking the sampled flow records as the object. The study constructs flow records from a Skype set as the dataset, considers the inherent NETFLOW and extended flow metrics as features, and uses a fast correlation-based filter algorithm to select highly correlated features. The study also proposes a new NFI method that adopts a Bayesian updating mechanism to improve the classifier model. The experimental results show that the proposed scheme can achieve much better identification performance than existing state-of-the-art traffic identification methods, and a typical feature metric is analyzed in the sampling environment. The NFI method improves identification accuracy and reduces false positives and false negatives compared to other methods.

研究动机与目标

• 解决在全包检测不可行的实时网络环境中，识别加密Skype流量的挑战。
• 克服基于端口和深度包检测方法在检测P2P加密流量时的局限性。
• 开发一种可扩展的在线分类系统，使用采样流记录而非完整数据包集。
• 在动态网络条件下提升分类准确率，并减少误报和漏报。
• 建立标准化的SKYPE-SET数据集，为未来加密流量识别研究提供基准。

提出的方法

• 利用L7过滤和真实Skype流量的网络流采集，构建带标签的SKYPE-SET数据集。
• 提取包括流持续时间、字节计数、数据包大小比率和端口信息在内的扩展NETFLOW特征。
• 应用快速相关性过滤（FCBF）算法，选择最具信息量的特征，降低维度同时保留预测能力。
• 设计一种基于贝叶斯更新机制的新型NFI模型，通过新流样本的逐步输入持续优化分类器。
• 采用10折交叉验证，评估模型在不同训练数据规模和流特征条件下的性能表现。
• 集成更新机制以适应不断变化的流量模式，提升长期分类的稳定性和准确性。

实验结果

研究问题

• RQ1 基于流的分类模型是否能仅使用采样流记录而非完整数据包数据，实现对加密Skype流量的高精度识别？
• RQ2 快速相关性过滤（FCBF）在从扩展NETFLOW度量中选择最具区分性的特征用于Skype识别方面，效果如何？
• RQ3 贝叶斯更新机制在在线流量识别中，对提升分类准确率并减少误报和漏报的改善程度如何？
• RQ4 与现有最先进方法（如朴素贝叶斯、K-NN、PSO-RBF、BOF-NB）相比，所提出的NFI方法在F1值、精确率和召回率方面的表现如何？
• RQ5 在采样环境下，哪些特定流特征（如Lport、BPS、Doublepktratio）对准确识别Skype流量的贡献最为显著？

主要发现

• 所提出的NFI方法实现了94.6%的F1值，显著优于朴素贝叶斯（91.9%）、K-NN（92.5%）、PSO-RBF（93.5%）和BOF-NB（93.2%）方法。
• FCBF特征选择算法识别出三个关键特征——Lport（0.711）、BPS（0.250）和Doublepktratio（0.166）——对分类影响最大。
• NFI模型在流大小超过10–3000个数据包后，相比所有基线方法更有效地降低了误报率和漏报率。
• 贝叶斯更新机制实现了模型的持续优化，随时间推移提升了准确率，并增强了对新型流量模式的适应能力。
• 该方法仅使用16个流特征即实现了96.7%的整体准确率，表明在极简特征集下仍具备强大性能。
• 研究证实，双向数据包长度比率和单位时间字节数等流级度量在采样环境中对Skype流量具有高度区分性。