《Electronics》：A Two-Stage Selective Deep Learning Framework for Malware Family Classification in Encrypted Network Traffic
编辑推荐：
加密网络流量（encrypted network traffic）限制了传统的基于载荷（payload）的检测，并使恶意软件家族归属（malware family attribution）更加困难。本研究提出一种用于加密流量中恶意软件家族分类（malware
加密网络流量（encrypted network traffic）限制了传统的基于载荷（payload）的检测，并使恶意软件家族归属（malware family attribution）更加困难。本研究提出一种用于加密流量中恶意软件家族分类（malware family classification）的两阶段选择性深度学习框架（two-stage selective deep learning framework）。该框架在两个数据集上评估：USTC-TFC2016作为包含10个恶意软件家族和10个良性应用的20类任务，MCFP-14-M2作为14类恶意软件分类任务。第一阶段使用轻量级一维卷积神经网络（1D convolutional neural network，1D-CNN）进行快速筛选，而不确定样本被升级至第二阶段，由NetMamba执行精细分类。模型采用准确率（accuracy）、宏F1（macro-F1）、加权F1分数（weighted F1-score）、各类别结果、推理延迟（inference latency）、升级率（escalation rate）以及面向边缘部署的测量（edge-oriented deployment measurements）进行评估。在USTC-TFC2016上，独立1D-CNN达到99.02%准确率，独立NetMamba达到99.51%。在选定阈值τ = 0.80时，两阶段框架达到99.34%准确率、0.9664宏F1和0.9934加权F1分数，同时仅升级11.03%的样本并达到0.6494 ms期望延迟（expected latency）。在MCFP-14-M2上，相应结果为93.02%准确率、0.9311宏F1、28.71%升级率和2.25 ms期望延迟。结果表明，选择性升级（selective escalation）优于轻量级模型并接近NetMamba水平准确率，同时降低平均计算成本。
加密通信广泛采用TLS和HTTPS，增强隐私与保密性，但降低传统基于载荷（payload-based inspection）检测的有效性，使恶意软件通信可隐藏在加密流中，流量分析更困难。现有机器学习和深度学习研究可从原始流量学习表示，但多聚焦恶意/良性二分类检测（binary detection），对事件响应、归因和活动追踪的操作价值有限；家族级分类更具挑战，原因包括载荷不可用时家族间区分模式细微，以及强模型计算成本高，尤其对长流量序列。基于Transformer的方法性能强但计算需求限制实时或资源受限环境部署。为此，研究人员考察选择性多阶段推理能否在加密恶意软件家族分类中更好平衡准确率与计算效率。该工作贡献在于应用和评估一种将轻量级一维卷积神经网络（1D convolutional neural network，1D-CNN）与NetMamba结合的两阶段选择性框架，而非置信度级联概念本身，并在USTC-TFC2016与MCFP-14-M2两个数据集上评估分类有效性和推理效率，重点关注置信度选择性升级带来的准确率—效率权衡（accuracy–efficiency trade-off）。该设计将额外计算资源仅用于不确定样本，为需要归因和资源受限部署的场景提供评估依据。
关键技术方法：研究使用USTC-TFC2016（20类：10个恶意软件家族和10个良性应用）与MCFP-14-M2（14类，来源于Malware Capture Facility Project的受控环境流量）两个样本队列，按约80:10:10划分训练、验证和测试；样本转为灰度图、张量化和归一化。Stage 1为轻量1D-CNN，三层一维卷积，配合批归一化（batch normalization，BN）、ReLU、自适应平均池化、dropout和全连接层，采用类加权交叉熵与标签平滑、AdamW、余弦退火，以验证宏F1选模并在CPU推理。Stage 2将NetMamba分类头分别适配20类和14类，加载预训练检查点微调。Stage 1输出经温度缩放（temperature scaling）校准（T = 0.50），以P
(top-1)?P
(top-2)为路由置信度，阈值τ控制升级。评估含准确率、宏/加权F1、各类别结果、延迟、升级率、峰值GPU内存和Raspberry Pi 5边缘部署。
3.1 独立模型性能：通过分别评估两个组件，Stage 1的轻量1D-CNN达到99.02%准确率、0.9593宏F1和0.9904加权F1；独立NetMamba达到99.51%准确率、0.9723宏F1和0.9951加权F1，表明后者为更强独立分类器。3.2 两阶段选择性推理结果：通过在不同τ下扫描并采用温度缩放校准，τ = 0.80时两阶段系统达到99.34%准确率、0.9664宏F1、0.9934加权F1，升级率11.03%，期望延迟约0.64 ms；期望校准误差（expected calibration error，ECE）从0.2504降至0.0454；McNemar检验显示Stage 1到τ = 0.80准确率提升显著（p = 0.0127），τ = 0.70与0.80差异不显著（p = 0.2500）。3.3 各类别性能：通过各类别精确率、召回率、F1和误差分析，多数类接近完美；Neris的F1由Stage 1的0.6897升至NetMamba的0.7500，两阶段为0.7407；Virut由0.6667升至NetMamba的0.7500，但两阶段仍为0.6667，原因是4个误分类Virut样本的边距（margin）置信度均高于阈值而未升级；383/3472样本升级，纠正14个Stage 1错误、引入3个新错误、2个未解决，总错误由34降至23；Skype、Miuref、Neris升级率最高。3.4 边缘部署评估：通过Raspberry Pi 5运行Stage 1、独立PC运行Stage 2，FP32 Stage 1准确率99.02%、平均延迟2.08 ms，INT8准确率相同但延迟2.37 ms，故保留FP32；完整系统τ = 0.80准确率99.34%、端到端平均延迟3.61 ms、升级率11.03%，3089个样本本地分类、383个升级。3.5 与现有方法比较：在相同内部条件下，τ = 0.80系统优于独立Stage 1并接近独立NetMamba；与已报道USTC-TFC2016结果比较时需考虑数据划分、预处理、类别定义和实验设置差异。3.6 在MCFP-14-M2上的评估：通过14类任务评估，Stage 1为88.05%准确率、0.8808宏F1、1.57 ms延迟；NetMamba为93.36%、0.9348、2.37 ms；τ = 0.80两阶段为93.02%、0.9311、升级率28.71%、期望延迟2.25 ms，略低于独立NetMamba；τ由0.80升至0.98准确率仅升至93.17%，但升级率升至55.19%、期望延迟2.73 ms并超过NetMamba的2.37 ms；匹配升级率下，边距路由略优于熵路由（93.02%/0.9311对93.00%/0.9308，延迟均2.25 ms）；多数家族F1>0.90，WebCompanion、Win32.Bundled和Adware.Adload较低。
讨论部分总结：结果说明两阶段选择性框架在分类性能与计算效率间取得实际平衡；τ提供直接可调机制，低τ保留轻量阶段效率，高τ增加强分类器使用但收益递减；多数类已高度可分，选择性升级主要改善少数困难类，且改善不均匀；Virut显示高置信Stage 1错误可能不被纠正；Raspberry Pi实验支持其作为面向边缘的推理流程。局限为标签空间仅20类和14类，Neris、Virut等测试支持小，结果不应视为对所有真实场景泛化的最终证明。
结论部分翻译：本研究提出并评估了一种用于加密网络流量中恶意软件家族分类的两阶段选择性分类框架，使用USTC-TFC2016和MCFP-14-M2两个数据集。该框架通过基于置信度的升级机制，将轻量级一维卷积神经网络（1D-CNN）第一阶段分类器与更高容量的NetMamba第二阶段分类器相结合。结果表明，所提方法优于独立轻量级模型并接近独立NetMamba的性能，同时仅需对一小部分样本进行第二阶段处理。研究发现表明，选择性升级是平衡分类质量与计算成本的有效方式。大多数流量样本可由轻量级第一阶段高效处理，而不确定样本受益于第二阶段模型的更深分析。阈值参数为控制这种平衡提供了实用手段，使框架能够在准确率—效率权衡的不同工作点运行。边缘部署实验进一步表明，该设计在资源受限环境中仍可行。未来工作可通过在更多样化的加密流量数据集上评估该框架、通过数据平衡或增强策略改善少数类性能，以及探索两阶段的替代模型组合来扩展该框架。将该方法扩展到更多恶意软件家族也有助于评估其在更真实威胁多样性下的价值。
