基于混合方法的SSL VPN加密流量识别研究

SSL是一种保证网络通信安全的协议,在流量传输中得到广泛使用。根据其应用的不同方式,可以分为普通的SSL加密流量和SSL VPN流量。许多不法分子常常将一些恶意流量隐藏在SSL VPN中进行传输。因此,SSL VPN流量的识别对于网络监管来说十分重要。提出一种混合方法,将指纹识别与机器学习方法相结合,实现SSL VPN流量的识别。该方法基于时间相关的流特征,利用基于GA(Genetic Algorithms)的改进RF(Random Forest)算法,实现了92.2%的识别准确率。实验结果表明,该方法能有效识别出网络中的SSL VPN流量。     

基于混合方法的IPSec VPN加密流量识别

文中提出了一种混合方法,将指纹识别与机器学习方法相结合,实现了IPSec VPN加密流量的识别。该方法首先基于负载特征从网络流量中筛选出IPSec VPN流量;接着,基于时间相关的流特征,利用随机森林算法建立了IPSec VPN流量分类模型,通过参数优化以及特征选择,整体流量识别的准确率达到了93%。实验结果验证了通过流特征提取的机器学习方法识别IPSec VPN流量的可行性;同时表明了该方法能够有效均衡识别精度与识别速度,达到了高效识别IPSec VPN加密流量的效果。     

GBDT与LR融合模型在加密流量识别中的应用

随着网络应用服务类型的多样化以及网络流量加密技术的不断发展,加密流量识别已经成为网络安全领域的一个重大挑战。传统的流量识别技术如深度包检测无法有效地识别加密流量,而基于机器学习理论的加密流量识别技术则表现出很好的效果。因此,本文提出一种融合梯度提升决策树算法(GBDT)与逻辑回归(LR)算法的加密流量分类模型,使用贝叶斯优化(BO)算法进行超参数调整,利用与时间相关的流特征对普通加密流量与VPN加密流量进行识别,实现了整体高于90%的流量识别准确度,与其他常用分类模型相比拥有更好的识别效果。     

一种面向加密流量的网络应用识别方法

为实现网络流量的有效管控,提出一种基于安全套接层(SSL)协议交互字段与多输入最大化单输出隐马尔可夫模型(HMM)的加密应用并行识别方法.将来自客户端或者服务器的单向数据流SSL协议交互阶段的字段作为HMM模型的观测序列,并对所有待识别的加密应用建立HMM模型形成指纹库.在此基础上,利用前向算法计算未知观测序列被识别为HMM模型的概率,选取概率最大HMM模型所对应的加密应用作为识别结果.实验结果表明,与传统应用识别方法相比,该方法对典型加密应用具有更好的识别效果及鲁棒性.     

一种面向类别不平衡SSL VPN加密流量识别方法

传统方法在处理不平衡的海量高维数据时存在特征提取困难、检测率低的问题。对此，提出一种先使用基于遗传染色体理论的数据合成过采样技术(NEDIL)平衡原始数据集，再利用基于注意力机制的双向GRU网络流量识别模型识别SSL VPN流量的方法。不仅解决了样本不平衡造成的模型拟合问题，同时能够增强关键特征的区分度，解决一般识别模型无法区分时间序列数据重要程度的差异性的问题。对比实验结果表明，该方法在公开的流量数据集上取得了比当前典型方法更好的识别精度，实现了整体高于92%的应用识别准确度。     

基于卷积神经网络的加密网络流量分类

传统的基于端口和深度包检测系统的方法无法对加密流量进行分类,基于浅层机器学习的方法又存在需要使用人工规则构造特征集、分类性能直接受到特征集质量的影响等问题。这会消耗大量的人力资源,并使流量分类的准确性难以达到预期。近年来,研究人员逐渐将目光转移到深度学习方面。深度学习不需要查看端口和解析流量,也不需要耗费人力提取特征集,是解决流量分类的有效途径。研究基于现实网络信息安全的需求,利用深度学习的方法搭建了一种基于深度学习的加密网络流量分类模型,实现了对加密流量的分类,在准确率、训练时间等方面均取得较为良好的结果。     

基于深度残差胶囊网络与注意力机制的加密流量识别方法

随着用户安全意识的提高和加密技术的发展,加密流量已经成为网络流量中的重要部分,识别加密流量成为网络流量监管的重要部分。基于传统深度学习模型的加密流量识别方法存在效果差、模型训练时间长等问题。针对上述问题,提出了一种基于深度残差胶囊网络模型（DRCN,deep residual capsule network）的加密流量识别方法。原始胶囊网络通过全连接形式堆叠导致模型耦合系数变小,无法搭建深层网络模型。针对上述问题,DRCN模型采用三维卷积算法（3DCNN）动态路由算法代替全连接动态路由算法,减少了每个胶囊层之间传递的参数,降低了运算复杂度,进而构建深层胶囊网络,提高识别的准确率和效率;引入通道注意力机制为不同的特征赋予不同的权重,减少无用特征对识别结果的影响,进一步增强模型特征提取能力;将残差网络引入胶囊网络层,搭建残差胶囊网络模块缓解了深度胶囊网络的梯度消失问题。在数据预处理方面,截取的数据包前784byte,将截取的字节转化成图像输入到DRCN模型中,该方法避免了人工特征提取,减少了加密流量识别的人工成本。在ISCXVPN2016数据集上的实验结果表明,与效果最好的BLSTM模型相比,DRCN模型的准确率提高了5.54%,模型的训练时间缩短了232s。此外,在小数据集上,DRCN模型准确率达到了94.3%。上述实验结果证明,所提出的识别方案具有较高的识别率、良好的性能和适用性。     

一种联合DPI和DFI的网络流量检测方法

提出一种以深度包检测(DPI)技术为主、深度流检测(DFI)技术为辅的网络流量检测方法。基于MPC8572网络处理器的模式匹配引擎模块,利用DPI实现细粒度检测,对于DPI的误识别情况,通过DFI进行鉴别并提示重新检测,以达到纠错目的。实验结果表明,联合方法具有检错和纠错功能,且能提高网络流量检测的准确率。     

基于深度学习的音视频应用两阶段识别方法研究

随着互联网的发展,网络音视频应用也呈现快速增长态势。基于隐私保护的目的,音视频多采用SSL/TLS加密。研究深度学习下对SSL/TLS加密音视频应用的识别分类,设计一种针对深度学习的特征工程来挖掘加密数据的隐藏内容特征,实现一种针对音视频应用的两阶段识别方法。实验表明,该方法具有良好的准确率和召回率。     

TLS协议恶意加密流量识别研究综述

随着5G时代的来临,以及公众对互联网的认识日益加深,公众对个人隐私的保护也越来越重视。由于数据加密过程中存在着恶意通信,为确保数据安全,维护社会国家利益,加密流量识别的研究工作尤为重要。针对TLS流量详细的阐述,分析了早期识别方法的改进技术,包括常见的流量检测技术、DPI检测技术、代理技术以及证书检测技术。介绍了选取不同TLS加密流量特征的机器学习模型,以及无需特征选择的深度学习模型等诸多最新研究成果。对相关研究工作的不足进行总结,并对未来技术的研究工作和发展趋势进行了展望。     

基于深度生成对抗网络的恶意TLS流量识别

恶意加密流量识别公开数据集中存在的类不平衡问题,严重影响着恶意流量预测的性能。本文提出使用深度生成对抗网络DGAN中的生成器和鉴别器,模拟真实数据集生成并扩展小样本数据,形成平衡数据集。此外,针对传统机器学习方法依赖人工特征提取导致分类准确度下降等问题,提出一种基于双向门控循环单元BiGRU与注意力机制相融合的恶意流量识别模型,由深度学习算法自动获取数据集不同时序的重要特征向量,进行恶意流量得识别。实验表明,与常用恶意流量识别算法相比,该模型在精度、召回率、F1等指标上都有较好的提升,能有效实现恶意加密流量的识别。     

基于改进双重深度Q网络的入侵检测模型

入侵检测技术作为网络安全有效的防御手段,是网络安全体系中的重要组成部分。随着互联网的快速发展,网络数据量快速增加,网络攻击更加趋于复杂化和多元化,目前主流的入侵检测技术无法有效识别各种攻击。针对实际网络环境中正常流量和攻击流量数据不平衡,且对攻击类流量检测率低的问题,基于深度强化学习提出一种基于改进双重深度Q网络的CBL_DDQN网络入侵检测模型。该模型将一维卷积神经网络和双向长短期记忆网络的混合网络模型引入深度强化学习的DDQN框架,并使用深度强化学习中的反馈学习和策略生成机制训练智能体来对不同类别的攻击样本进行分类,在一定程度上减弱了训练模型过程中对数据标签的依赖性。采用Borderline-SMOTE算法降低数据的不平衡度,从而提高稀有攻击的检测率。通过NSL_KDD和UNSW_NB15数据集对模型的性能进行评估,结果表明：该模型在准确率、精确率、召回率这三项指标上均取得了良好的结果,检测效果远优于Adam-BNDNN、KNN、SVM等检测方法,是一种高效的网络入侵检测模型。     

基于双因素认证的SSLVPN登录方式研究

SSL VPN技术作为新一代网络安全技术,凭借着能够提供便捷、低成本的对网络访问而被广大企业用户所使用。目前,SSL VPN一般使用公开算法,网络非法入侵者如果获悉使用者的用户名以及密码,即可得到合法访问的权限,对内部网络进行非法访问。针对这种情况,本文提出了一种基于双因素认证的SSL VPN登录方式,并给出了该方法的方案设计。该登录方式能够有效解决访问权限引起的安全问题。     

基于深度学习的加密流量分类研究综述

近年来,为保护公众隐私,互联网上的很多流量被加密传输,传统的基于深度包检测、机器学习的方法在面对加密流量时,准确率大幅下降。随着深度学习自动学习特征的应用,基于深度学习算法的加密流量识别和分类技术得到了快速发展,本文对这些研究进行综述。首先,简要介绍基于深度学习的加密流量检测应用场景。然后,从数据集的使用和构建、检测模型和检测性能3个方面对已有工作进行总结和评价,其中检测技术重点论述数据的预处理、不平衡数据集的处理、神经网络构建、实时检测等方法。最后,讨论当前研究中出现的问题和未来发展方向和前景,为该领域的研究人员提供一些借鉴。     

Semisupervised Encrypted Traffic Identification Based on Auxiliary Classification Generative Adversarial Network

The rapidly increasing popularity of mobile devices has changed the methods with which people access various network services and increased network traffic markedly. Over the past few decades, network traffic identification has been a research hotspot in the field of network management and security monitoring. However, as more network services use encryption technology, network traffic identification faces many challenges. Although classic machine learning methods can solve many problems that cannot be solved by port- and payload-based methods, manually extract features that are frequently updated is time-consuming and labor-intensive. Deep learning has good automatic feature learning capabilities and is an ideal method for network traffic identification, particularly encrypted traffic identification; Existing recognition methods based on deep learning primarily use supervised learning methods and rely on many labeled samples. However, in real scenarios, labeled samples are often difficult to obtain. This paper adjusts the structure of the auxiliary classification generation adversarial network (ACGAN) so that it can use unlabeled samples for training, and use the wasserstein distance instead of the original cross entropy as the loss function to achieve semisupervised learning. Experimental results show that the identification accuracy of ISCX and USTC data sets using the proposed method yields markedly better performance when the number of labeled samples is small compared to that of convolutional neural network (CNN) based classifier.