VFRDAD：一种基于多尺度局部信息与增强全局信息融合的物联网加密流量识别方法

《Computer Networks》：VFRDAD: An IoT Encrypted traffic identification method based on multi-scale local information and enhanced global information fusion

　　

摘要

加密技术的广泛采用和物联网（IoT）设备的快速扩展使加密流量分类成为网络安全和流量管理的重要方面。当前将加密流量转换为灰度图像进行分类的方法可以在不解密的情况下提取流量中的隐藏模式和特征。然而，这些方法面临两个主要挑战：首先，它们难以准确捕获流量图像中的细微局部特征；其次，它们获取全局上下文信息的能力相对较弱。因此，现有方法往往无法充分表示加密流量固有的复杂模式，导致分类准确率次优。为解决此挑战，本文提出了一种基于多尺度局部信息和增强全局信息融合的加密流量识别方法（VFRDAD）。首先，VFRDAD将会话级流量映射为灰度图像，并应用多尺度高通滤波以捕获不同频带的细粒度局部模式，通过卷积操作进行整合。其次，流量域自编码器执行通道重映射以生成三通道表示，采用膨胀卷积来扩大感受野并增强全局结构上下文。由此产生的三通道图像随后由视觉Transformer（ViT）处理以提取全局上下文表示。最后，门控注意力融合模块自适应地结合局部和全局特征进行分类。在Darknet-dataset-2020、ISCXVPN2016和CIC-IoT-2023上的实验表明，VFRDAD在所评估的协议和设置下始终优于代表性基线方法。

引言

互联网的广泛扩展与5G网络的推出已为智能生态系统建立了基础设施。物联网（IoT）应用——从智能家居、智慧城市到农业、工业、医疗、物流、运输和国防——现已在全球范围内运行[1]。根据IDC媒体中心的数据，到2025年，约有416亿台联网设备将产生79.4泽字节的数据[2]。因此，联网设备的快速激增推动了加密网络流量的指数级增长。

ThreatLabz安全研究团队报告称，85.9%的网络威胁现在源自加密通道。制造业仍是最受影响的行业，而教育和政府部门的同比增长最大，分别为276.4%和185%（与2022年相比）[3]。对手采用先进技术——包括恶意软件分发、设备劫持、中间人攻击、跨站脚本（XSS）、加密挖矿和加密货币劫持——来入侵IoT设备和网络。一旦发生入侵，攻击者可以窃取敏感信息、破坏系统运行并操纵设备行为，导致大量数据丢失和运营损害。

因此，准确检测异常的加密流量已成为网络安全中既关键又复杂的挑战[2]。动态端口的普遍性和加密的广泛采用削弱了基于端口的和深度包检测技术的有效性。传统机器学习方法严重依赖专家驱动的特征选择，限制了可扩展性并可能导致遗漏显著模式[4]。随着最新进展，深度学习已成为加密流量异常检测的主导范式[5]。然而，现有的深度学习模型通常将加密会话表示为单通道图像，导致两个主要缺点：首先，它们难以准确提取流量图像中的细粒度局部特征；其次，它们捕获全局上下文信息的能力相对较弱。为解决这些问题，本文引入了VFRDAD——一种集成多尺度局部特征提取与增强全局信息融合的加密流量识别方法——从而丰富特征表示并提升分类性能。总之，本文的主要工作可概括如下：

• (a)
  本文提出了一种多级局部信息融合方法，利用多尺度高通滤波捕获层次化细节，随后通过卷积操作进行整合。
• (b)
  本文介绍了一种基于RGB转换的图像信息增强技术。具体来说，它利用自编码器（AE）的特征提取和通道映射能力将灰度图像进行转换。膨胀卷积被用来扩大感受野，从而更全面地捕获图像的上下文和全局信息。
• (c)
  VFRDAD在Darknet-dataset-2020、ISCXVPN2016和CIC-IoT-2023上取得了最先进性能，超过了现有方法。

本文其余部分结构如下：第2节综述了网络流量识别的先前工作。第3节详细介绍了所提出的方法。第4节报告了实验验证，包括比较评估和消融研究。最后，第5节进行总结并展望未来研究方向。

章节摘要

相关工作

网络流量分类技术可基于其底层原理分为基于机器学习的方法和基于深度学习的方法。以下，我们分别回顾这两种范式的当前研究现状。

基于机器学习的方法：李伟等人[6]采用C4.5决策树实现了高实时应用类型准确率。董等人[7]引入了一种基于朴素贝叶斯的网络流识别（NFI）机制，以解决实时跟踪和

所提出的方法

本章主要介绍了VFRDAD的总体框架结构，如图1所示。VFRDAD由4个模块组成。（1）流量预处理模块：原始PCAP流量数据包经过流分离、匿名化和清洗后，每个双向会话字节流的前784字节被映射为28×28灰度图像。（2）局部信息提取模块：通过多尺度滤波获取流量灰度图的局部信息

数据集与环境配置

本研究采用了三个公开数据集：Darknet-dataset-2020 [35]、ISCXVPN2016 [36]和CIC-IoT-2023 [37]。Darknet-dataset-2020数据集由上海交通大学（SJTU）研究团队在真实网络环境中，使用暗网流量检测器从Tor、I2P、ZeroNet和Freenet等网络捕获实时数据而收集。经过严格的预处理和筛选后，数据集被分为八种流量类型：浏览、聊天、电子邮件

结论

在现代网络环境中，加密流量的快速增长对流量识别和安全监控提出了巨大挑战。为解决此问题，我们提出了VFRDAD，一种会话到图像的加密流量识别框架，联合建模细粒度局部性和全局上下文。具体来说，VFRDAD将每个双向会话映射为固定长度的28×28灰度图像，并通过频域高通滤波提取多尺度局部模式

CRediT作者贡献声明

高进金：资金获取。刘勇：资金获取。蒋睿：项目管理。杨涛：方法论。郑建军：资金获取。

资金支持

本研究由四川省智能感知与控制重点实验室（项目编号：2024RYY07）和重庆市教育委员会（项目编号：KJQN202304603）资助。

利益冲突声明

作者声明了以下可能被视为潜在利益冲突的财务利益/个人关系：作者声明，他们没有已知的竞争财务利益或个人关系可能会影响本论文报告的工作。

高进金|刘勇|蒋睿|杨涛|郑建军