К идентификации сетевых приложений в зашифрованном трафике

Мониторинг сетевого трафика для обнаружения угроз безопасности и управления производительностью сети затруднён из‑за шифрования большинства коммуникаций. В статье рассматривается задача идентификации сетевых приложений, связанных с соединениями Transport Layer Security (TLS). Проведена оценка трёх основных подходов к классификации трафика, зашифрованного TLS: методы отпечатков (fingerprinting), идентификация на основе Server Name Indication (SNI) и классификаторы на основе машинного обучения. Каждый метод обладает своими сильными и слабыми сторонами: fingerprinting опирается на регулярно обновляемую базу известных хешей, SNI уязвима к обфускации или отсутствию информации, а методы искусственного интеллекта, такие как машинное обучение, требуют достаточного объёма размеченных обучающих данных. Сравнение этих методов подчёркивает трудности идентификации отдельных приложений, поскольку свойства TLS значительно разделяются между приложениями. Тем не менее даже при идентификации набора кандидатных приложений можно получить ценную информацию для мониторинга сети, и все рассмотренные методы способны обеспечить при этом высокую точность. Для содействия дальнейшим исследованиям в этой области создан новый общедоступный набор данных TLS‑коммуникаций с аннотациями для популярных настольных и мобильных приложений. Кроме того, представлены результаты трёх различных подходов к уточнению классификации TLS‑трафика на основе комбинации базовых классификаторов и контекста. Наконец, предложены практические варианты применения и обозначены направления будущих исследований для дальнейшего улучшения методов идентификации приложений.