Эффективное обнаружение вредоносного зашифрованного трафика с помощью многомасштабного сверточно-усиленного трансформера: подход NetFlowClassifier

С широким распространением технологий шифрования все больший объем интернет-трафика оказывается зашифрованным, что в корне ослабляет традиционные механизмы инспекции трафика. Существующие методы на основе портов и полезной нагрузки становятся неэффективными, а подходы, полагающиеся на вручную создаваемые признаки, страдают от ограниченной дискриминационной способности и плохой обобщающей способности. Для решения задачи идентификации вредоносного зашифрованного трафика в статье предлагается легковесная гибридная модель NetFlowClassifier вместе с целевым конвейером предварительной обработки данных. Сначала из CSE-CIC-IDS2018 формируется набор данных зашифрованного трафика для бинарной классификации потоков как безвредных или вредоносных. Предлагаемая модель интегрирует многомасштабную глубинно-разделяемую свертку и улучшенный энкодер Transformer для совместного захвата локальных дискриминирующих паттернов и дальнодействующих зависимостей. Дополнительно вводятся обучаемое позиционное кодирование признаков и пулинг с взвешиванием вниманием для усиления представления признаков. Экспериментальные результаты показывают, что NetFlowClassifier достигает F1-меры 0.9661, превосходя базовые модели CNN и Transformer на 1.8%–3.2%. При 11.2 миллионах параметров и пропускной способности 128 образцов в секунду модель эффективно балансирует между точностью обнаружения и вычислительной эффективностью. Эти результаты демонстрируют эффективность предложенного подхода для обнаружения вредоносного зашифрованного трафика в современных сетевых условиях.