Обзор методов классификации и анализа зашифрованного трафика

В условиях широкого распространения защищённой передачи данных шифрование сетевого трафика становится стандартом. Это создаёт проблему для измерения характеристик трафика, особенно для методов анализа и обнаружения аномалий, зависящих от типа сетевого трафика. В данной статье рассматриваются существующие подходы к классификации и анализу зашифрованного трафика. Сначала описываются наиболее распространённые протоколы шифрования, используемые в Интернете. Показано, что установление зашифрованного соединения и структура протокола раскрывают значительный объём информации, пригодной для классификации и анализа зашифрованного трафика. Затем рассматриваются методы классификации зашифрованного трафика на основе полезной нагрузки и признаков; эти методы систематизируются с использованием принятой таксономии. Преимущество некоторых описанных методов классификации заключается в способности распознавать зашифрованный протокол приложения в дополнение к протоколу шифрования. Наконец, приводится всестороннее сравнение рассмотренных методов классификации на основе признаков и анализируются их сильные и слабые стороны.