基于机器学习的加密流量的特征工程方法研究和系统设计

◆郑玉谦 陈晓璠

（1.江西电信政企（信产）分公司 江西 330000；2.南昌航空大学经济管理学院 江西 330063）

1 引言

当前，基于SSL/TLS 的网络应用的流量呈现不断增长的趋势。据Gartner 的预测，到2019年底，加密流量占整个网络应用流量的80%[1]。使用加密流量对于用户来说，能够很好地保护用户的个人隐私，比如Google 倡导的网站提供的https 服务，并对不提供https 服务的网站在其Chrome 浏览器中提示网站存在风险。然而，这种加密流量使得基于深度包检测（Deep Packet Inspection，DPI）的网络安全设备无法有效地通过检测数据包内的载荷（payload）信息来发现恶意流量，因为DPI 技术需要通过基于关键特征字符串匹配的形式来识别恶意软件，这使得很多恶意软件也借助这一方式来躲避网络安全设备的检测。恶意软件通过加密的通道与服务器之间构建命令与控制（Command and Control，C&C or C2）信道，并通过这种加密信道来执行连接外网服务器，下载木马程序，对外传播窃取的机密文件等行为。为了能够实现对加密流量的检测，在通信链路中间卸载https显然并不是一种具有普遍适用性的方式，该方式仅适用于银行等特殊业务应用场景，对于绝大多数应用来说，一方面是增加额外的计算开销，另外一方面也有侵犯用户隐私的风险。

随着近几年人工智能技术的发展，让使用机器学习或深度学习来对加密流量进行直接检测的这一方法变为可能。就如同机器视觉可以通过提取人走路的步态特征来识别一个人一样，机器学习方法通过对加密流量中的数据包、会话、流（flow）信息的特征进行提取，也能够实现对加密流量中载荷（payload）内容的分类和识别。……