《Computer Networks》：Reliability-aware benchmarking for terminal-side PCDN encrypted traffic classification via auditable silver-labeling
编辑推荐：
•首个针对终端侧PCDN加密流量的基准测试。•捕获真实的WAN侧流量和系统进程快照。•通过证据融合生成可审计的“银级”标签。•开放式集拒绝了未知流量风险。引言随着在线视频和数字服务的快速增长，传统的集中式内容分发网络在高并发和低延迟场景下面临越来越大的压力，在这些场景中，带宽成本
- •
首个针对终端侧PCDN加密流量的基准测试。
- •
捕获真实的WAN侧流量和系统进程快照。
- •
通过证据融合生成可审计的“银级”标签。
- •
开放式集拒绝了未知流量风险。
引言
随着在线视频和数字服务的快速增长，传统的集中式内容分发网络在高并发和低延迟场景下面临越来越大的压力，在这些场景中，带宽成本、分发效率和可扩展性难以平衡[1]。点对点内容分发网络（PCDNs），在相关研究中也被称为对等辅助CDN或对等辅助分发网络，提供了一种互补的分发模式。与从中央CDN基础设施提供服务不同，PCDNs允许边缘设备或终端设备充当辅助缓存和上传者：客户端不仅可以消费内容，还可以存储并将内容块重新分发给其他对等节点。这种设计可以减少CDN服务器的流量负担，并提高分发可扩展性[2]。最近的行业研究表明，此类系统[3]已经大规模部署，并能够承载大量生产视频流量。然而，将分发任务从中央服务器转移到终端设备也会改变互联网服务提供商（ISPs）观察到的流量模式。由于PCDN客户端不断存储、上传和重新分发数据，它们会产生持续的上传行为、点对点通信模式以及访问边缘的流量动态，这使得服务质量（QoS）诊断[4]、流量工程、网络管理和安全风险评估[5]变得复杂。因此，准确识别来自终端侧的PCDN相关流量对于接入网络管理和运营故障排除非常重要。
加密流量分类（ETC）为这项任务提供了技术基础[6]、[7]、[8]，因为大多数现代分发流量都是加密的，且 payload检查不再可靠。ETC已经得到了广泛的研究，从基于统计特征的分类发展到基于表示的学习、预训练[9]和基于图的建模[10]。尽管如此，终端侧的PCDN分析仍然缺乏现有的公共数据集和基准测试的支持。最近的基准测试工作极大地改善了ETC生态系统。例如，DataZoo[11]标准化了对CESNET-QUIC22、CESNET-TLS22和CESNET-TLS-Year22[12]的访问，并支持用于流量分类实验的现实划分。CESNET-TLS-Year22进一步提供了一个跨越年的TLS数据集，用于研究时间鲁棒性和分布漂移。同时，Meta MIMETIC[13]和MetaMRE[14]研究了几次性的加密流量分类，而MEMENTO[15]则专注于使用MIRAGE19和CESNET-TLS22等公共数据进行类增量ETC。然而，这些资源主要是为骨干服务识别、QUIC/TLS服务分类、移动应用识别、少量样本适应或增量学习设计的。据我们所知，没有一项直接针对终端侧的PCDN识别，其中流量是在终端设备边界捕获的，标签必须从部分边界可见和进程侧的证据中推断得出。
这一差距不仅是数据缺失的问题，也是标签可靠性的问题。在终端侧的PCDN场景中，由于无法直接检查加密的载荷，且每个会话的生成过程并不总是可见的，因此很难获得高质量的会话标签。因此，研究人员必须依赖于端口优先级、PID-socket快照、进程元数据和边界可见的流量行为等弱证据。如果将这些弱标签视为黄金标签，噪声或冲突的证据可能会导致过于乐观的评估。最近的研究表明，标签噪声会显著降低加密流量检测的准确性，使得标签可靠性成为首要问题[16]、[17]、[18]。此外，实际部署是在开放世界中进行的，而不是在封闭集内：训练标签空间之外的未知流量可能随时出现，如果不对这些流量进行明确建模，可能会降低分类器的可靠性[19]。
为了解决这些问题，我们的基准测试基于三个核心设计原则来指导数据收集、标签化和评估。首先，我们遵循网络边界可观察性的原则。我们在真实终端设备的WAN侧捕获原始的双向流量，并同时收集定期的PID–socket和进程快照。这种设计使数据更接近真实的终端侧部署，而不是简化的实验室环境。其次，我们不假设存在黄金标签。相反，我们使用基于端口优先级的证据融合规则生成会话级别的“银级”标签，并记录每个决策的来源，包括主要证据来源、证据强度、冲突标志和审查建议。这种设计将弱标签化从一个隐藏的启发式方法转变为一个可审计的过程。第三，我们使用基准测试来检查数据集的可用性、可靠性级别的性能、未知行为以及来自消融和SHAP分析的诊断信号。这种多方面的评估使我们的评估更接近实际部署风险，而不仅仅是传统的准确性指标。
本文的主要贡献如下：
- •
我们提出了一种可重用的终端侧PCDN数据集构建流程。该流程涵盖了真实终端用户环境中的流量收集、会话生成、特征提取和基准测试组织。
- •
我们设计了一种可审计的加密流量“银级”标签方法。该方法结合了端口线索和进程证据，并保留了证据类型、证据强度、冲突标志和审查标记等来源字段，从而使标签生成过程更容易检查和信任。
- •
我们构建了一个真实的终端侧PCDN数据集，并围绕它建立了一个基准测试。我们从四个互补的方面验证了该基准测试：基线数据集的可用性、不同证据强度下的可靠性级别分析、三类和开放集设置中的未知行为建模，以及使用特征消融和SHAP的诊断分析。
本文的其余部分组织如下：第2节回顾了加密流量分类方法、加密流量分析和开放集流量的相关工作以及可靠的评估方法。第3节详细介绍了所提出的方法论，包括边界可观察流量捕获、流量会话表示、带有证据来源的可审计“银级”标签、数据集概要和考虑可靠性的基准测试协议。第4节介绍了实验设置和结果，涵盖了不同可靠性级别的二进制识别、带有未知类的三类评估、可控可靠性的开放集拒绝以及特征家族消融和解释。第5节总结了整篇文章并讨论了未来的扩展研究工作。
章节片段
PCDN系统及其终端侧识别的挑战
点对点内容分发网络（PCDNs）已经从传统的对等辅助分发机制发展成为大规模的商业基础设施，重塑了网络边缘的流量动态。主要的视频平台已经部署了大型工业PCDN系统，通过聚合地理分布和异构的边缘资源来降低传统CDN的成本[2]、[3]。这些系统越来越多地利用 fragmented 的带宽和存储资源
方法论
整个方法论分为四个阶段。图1展示了我们的基准测试构建和评估的总体框架。在第1阶段，边界可观察流量捕获在真实设备的WAN侧收集原始数据包，并定期记录系统快照作为辅助证据。第2阶段，流量会话表示将数据包路径转换为结构化的会话级别记录和特征表示，以便下游分析。第3阶段，可审计的“银级”标签化
实验设置
我们遵循第3.5节中定义的考虑可靠性的基准测试协议。所有实验都是在由所提出的流程生成的会话级别记录上进行的，使用从边界可观察证据构建的“银级”标签。
整个数据集严重偏向于PCDN流量。为了在保持所有七个模型之间训练的可处理性和可比性的同时解决不同的基准测试问题，我们构建了三个互补的子集，其类分布在表4中报告
结论
本文提出了一个面向基准测试的框架，用于在真实的接入网络条件下分析终端侧的PCDN加密流量。与通常依赖于封闭集假设和固定标签的传统加密流量分类研究不同，我们的工作明确考虑了边界可观察流量、不完美标签和开放世界不确定性的实际挑战。我们设计了一个可复制的流程，涵盖了WAN侧流量收集、会话
CRediT作者贡献声明
Mengyi Fu：撰写——原始草稿、软件、方法论、概念化。Pan Wang：撰写——审阅和编辑。Zixuan Wang：撰写——审阅和编辑。
利益冲突声明
作者声明他们没有已知的竞争财务利益或个人关系可能会影响本文报告的工作。
致谢
本文得到了苏州科技规划项目的资助，项目编号为SYG202311和国家自然科学基金的青年科学家基金的资助，项目编号为62602287。
Mengyi Fu|Pan Wang|Zixuan Wang
