MaMPF: Классификация шифрованного трафика на основе многопризнаковых марковских вероятностных отпечатков

С ростом числа сетевых приложений обнаружение аномалий в сети и управление безопасностью сталкиваются с серьёзной проблемой, первоочередным и фундаментальным шагом в которой является классификация трафика. Однако для сохранения конфиденциальности пользователей широко используются шифрованные протоколы связи, такие как SSL/TLS, что делает традиционные методы классификации на основе правил неэффективными. Существующие подходы не обеспечивают удовлетворительную точность при классификации шифрованного трафика из‑за недостатка различимых признаков. В этой работе мы предлагаем Multi-attribute Markov Probability Fingerprints (MaMPF) для классификации шифрованного трафика. Ключевая идея MaMPF — учитывать несколько признаков, включая критический признак, называемый «последовательность блоков длины» (length block sequence), который эффективно фиксирует временные ряды длин пакетов с помощью степенных (power-law) распределений и относительных вероятностей появления для всех рассматриваемых приложений. На основе типа сообщений и последовательностей блоков длины обучаются марковские модели, а вероятности по всем приложениям конкатенируются и используются как отпечатки для классификации. MaMPF достигает 96.4% полноты (TPR) и 0.2% ложноположительной ставки (FPR) на реальном наборе данных с кампусной сети (включающем более 950 000 шифрованных потоков трафика и охватывающем 18 приложений), превосходя современные методы.