Время покажет: Criss-Cross Transformer для анализа зашифрованного трафика

Широкое внедрение шифрования в веб-сервисах заставляет как злоумышленников, так и защитников сети адаптировать свои инструменты для работы с зашифрованным трафиком. Для различных приложений в области безопасности в зашифрованных сетях анализ зашифрованного трафика является основополагающим. В силу скрытия информации, связанной с содержимым, в зашифрованных пакетах, динамика зашифрованного трафика становится различимой величиной, требующей всестороннего анализа. В статье исследуются присущие временные корреляции в зашифрованном трафике и предлагается новый алгоритм Criss-cross Traffic Transformer (CTT), разработанный для решения специфических задач анализа зашифрованного трафика. CTT выделяется применением специализированного трансформера для временных рядов, который инновационно использует патчинг и модуль перекрёстного внимания (criss-cross attention module, CAM) для разборки и интерпретации зашифрованного трафика: компонент «criss» извлекает долгосрочные и краткосрочные временные корреляции по времени, а компонент «cross» улавливает временные корреляции по нескольким размерностям признаков зашифрованного трафика. CTT предоставляет унифицированную структуру, способную учитывать разные аналитические гранулярности, включая уровень пакета, уровень потока и переход пакет→поток. Важно, что CTT охватывает не только классификацию зашифрованного трафика, но и прогнозирование зашифрованного трафика — область, которая в значительной степени остаётся недостаточно изученной в существующей литературе. Мы оцениваем CTT в задачах атак отпечатков (fingerprinting) и обнаружения вредоносного ПО на пяти реальных наборах данных в сравнении с 13 бенчмарками. Результаты показывают, что CTT обеспечивает до 15.56% прироста производительности по сравнению с современными (state-of-the-art) решениями для классификации зашифрованного трафика. В частности, CTT демонстрирует более 92.5% точности прогнозирования, что сопоставимо с SOTA-результатами в сценарии «видел и классифицировал», что указывает на потенциальную применимость метода в более широких областях, таких как анализ поведения в социальных сетях. Исходный код доступен по адресу https://github.com/Amanda-HuaDing/Criss-cross_Traffic_Transformer.