Новая мультимодальная глубокая обучающая архитектура для классификации зашифрованного трафика

Классификация трафика имеет решающее значение для обеспечения кибербезопасности и управления сетью и широко используется для гарантирования качества обслуживания (Quality of Service, QoS), обнаружения вторжений и других задач. В последнее время, с появлением протоколов шифрования SSL/TLS в современной среде Интернета, традиционные методы классификации на основе полезной нагрузки уже неэффективны. Некоторые исследователи использовали методы машинного обучения для моделирования признаков потоков зашифрованного трафика (например, тип сообщения, последовательность длин, статистические признаки) и в некоторых случаях добились хороших результатов. Однако эти высокоуровневые вручную сконструированные признаки не годятся для более тонкой детализации и могут приводить к потере важной информации, что сказывается на точности классификации. Для преодоления этого ограничения в данной работе мы разработали новую мультимодальную глубокую обучающую архитектуру для классификации зашифрованного трафика под названием PEAN. PEAN использует необработанные байты и последовательность длин в качестве входа и применяет механизм самовнимания для изучения глубоких взаимосвязей между сетевыми пакетами в би-потоке. Кроме того, введена обучение без учителя на предварительном этапе для улучшения способности PEAN характеризовать сетевые пакеты. Эксперименты на реальном наборе трасс, захваченном в крупном дата-центре, демонстрируют эффективность PEAN, который превосходит современные методы по результатам.