SaGNN：语义感知异构图神经网络的加密流量分类

《Computer Networks》：SaGNN: Encrypted traffic classification with semantic-aware heterogeneous graph neural network

　　

摘要 加密流量分类是现代网络安全与管理中的关键任务。然而，现有方法面临两个主要局限：(1) 在流级别上，它们忽略了加密流量交互模式的变化，错失了探索不同通信阶段之间语义差异的机会。(2) 在数据包级别上，它们在功能和表现形式方面缺乏细粒度区分，导致语义冲突。本文提出了一种基于语义感知异构图神经网络（SaGNN）的加密流量分类方法。首先，我们定义了异质流量交互图（H-TIG），使用不同类型的节点和边来表示不同通信阶段的数据包以及数据包之间复杂的交互关系，从而实现对加密流更加准确和全面的表示。然后，我们设计了三元嵌入（Triple Embedding），独立编码数据包内具有不同语义的字节区域，从而避免数据包级别的语义冲突并丰富H-TIG的节点属性。此外，我们开发了一种异构图神经网络，称为STGAT，用于深度学习H-TIG的交互关系和节点属性，并获得一个集成的流级别表示向量，随后用于分类。最后，在三个知名数据集上的一系列实验表明，SaGNN显著优于代表性方法，F1分数平均提升了2.27%。

引言 随着对网络安全日益增长的关切，流量加密技术被越来越广泛地部署。SSL/TLS协议等加密机制[1]、[2]通过加密数据包负载来保护用户隐私，从而防止数据在传输过程中泄露。然而，通信内容的加密使得流量分类更加困难，对网络效率优化和安全监管构成了重大挑战。一方面，互联网服务提供商（ISPs）和网络运营商需要识别和分类加密流量，以提高网络运营效率并提供定制化服务，从而提升服务质量（QoS）。另一方面，恶意软件和网络攻击往往利用加密流量来掩盖其活动，这大大增加了恶意流量检测和安全监管的难度。根据现有研究[3]，超过80%的恶意软件通过基于SSL/TLS的通信进行传播。因此，有效的加密流量分类方法对于保障网络安全至关重要。

由于流量加密，基于明文的分类方法如深度包检测（DPI）[4]不再适用。尝试在分类前解密加密流量会引入令人望而却步的计算成本，并违背用户隐私保护的初衷。事实上，加密流量可以直接进行分类。先前的研究表明，加密算法并不能实现理想的随机性，不同类型的加密流量表现出不同的网络行为，例如网络负载和延迟的变化[5]，从而表现出可区分的特征。

基于机器学习和深度学习的方法可以提取和学习可区分的特征以实现加密流量分类。基于机器学习的加密流量分类方法通常分析流量的行为或统计特征进行分类[6]、[7]、[8]、[9]、[10]、[11]，其准确性严重依赖于人工提取的特征。相比之下，基于深度学习的方法利用固有的自动特征提取能力实现端到端的加密流量分类。这些方法将流量建模为图像或序列，并利用卷积神经网络（CNNs）、循环神经网络（RNNs）或Transformer等神经网络架构来提取空间和时间特征[5]、[12]、[13]、[14]、[15]。最近的研究通过引入预训练和层次化表示学习进一步改进了这一范式[16]、[17]、[18]。例如，TrafficFormer为流量数据学习高效的预训练表示[19]，而BTRFormer采用基于块的流量表示的掩码自编码器来捕获层次化的加密流量特征[20]。然而，网络流量并非简单的图像或序列，而是具有复杂的交互关系。上述深度学习方法忽略了这些流量内部的交互信息，导致流量特征表示不完整。最近，图神经网络（GNNs）已被引入加密流量分类。现有的基于GNN的研究在不同粒度上构建流量图，包括用于细粒度语义建模的数据包级别或字节级别图[21]、[22]，用于数据包交互表示的流级别图[23]、[24]，以及用于不同流之间相关性挖掘的跨流图建模[25]。图具有强大的结构表示能力，能够将流量交互关系建模为节点之间的边，从而克服欧几里得空间的限制并保留更丰富的原始流量特征[26]。通过GNNs的进一步学习和聚合，可以获得包含时空和交互信息的更全面流量表示。

尽管如此，尽管有了这些最新进展，现有方法仍然未能充分利用加密协议引入的更丰富语义，面临两个主要局限：

(1) 忽略流级别交互模式的变化：当双方不进行加密通信时，数据直接传输（对于面向连接的网络协议如TCP，必须先建立连接）。然而，当采用加密通信时，由于加密协议的集成，通信过程可以划分为握手阶段和传输阶段。前者协商加密通信中使用的加密和压缩算法以及其他必要信息，后者则根据协商好的配置实际传输数据。这两个阶段的数据包具有完全不同的内容和功能，因此承载了不同的语义含义。

(2) 缺乏数据包级别的细粒度语义区分：在功能上，包含链路层、网络层和传输层头部在内的数据包头部用于实现网络通信的基本功能。数据包负载负责承载数据：在握手阶段，它传达加密配置信息，而在传输阶段，它承载用户信息。数据包头部、握手阶段的负载和传输阶段的负载各自履行不同的功能，因此承载不同的语义。在表现形式上，每个数据包头部都以明文形式传输，未进行加密。对于数据包负载，握手阶段的负载大部分未加密，而传输阶段的负载已加密并表现为密文。因此，出现在这三个不同区域的相同字节可能具有不同的语义含义。

受这些观察的启发，我们提出了一种称为语义感知异构图神经网络（SaGNN）的加密流量分类方法，通过充分利用加密协议引入的更丰富语义信息来解决上述局限。SaGNN由四个组件组成：异质流量交互图（H-TIG）构建、三元嵌入、用于图表示的STGAT以及分类器。H-TIG构建模块将加密流量在流级别上转换为H-TIG，其中不同类型的节点和边表示握手阶段和传输阶段的数据包及其交互，从而突出两个阶段之间的语义差异。三元嵌入模块在数据包级别上进行细粒度表示以避免语义冲突并丰富H-TIG的节点属性。它采用三个独立的嵌入层来编码头部和不同阶段的负载，强调不同区域中字节的语义差异。这样，SaGNN中的阶段感知语义建模不仅体现在流级别的H-TIG结构中，也体现在由三元嵌入生成的数据包级别节点属性中。用于图表示的STGAT模块使用精心设计的一种称为STGAT的异构图神经网络来层次化地学习和抽象所构建H-TIG中的交互关系和丰富的节点属性，生成一个全面的流级别表示向量。该向量最终输入分类器以获得分类结果。

本文的主要贡献总结如下：
• 我们定义了H-TIG来表示加密流。它在保留流内部交互关系的同时，区分了握手阶段和传输阶段之间的语义。
• 我们设计了三元嵌入，一种数据包表示方法，独立编码数据包头部、握手负载和传输负载，从而避免语义冲突并丰富H-TIG的节点属性。
• 我们提出了一种名为SaGNN的加密流量分类方法，该方法利用精心设计的异构图神经网络STGAT来学习H-TIG的交互关系和节点属性，提取丰富且具有区分力的语义特征以实现准确的加密流量分类。
• 我们在ISCX VPN-nonVPN数据集和USTC-TFC数据集上进行了大量实验。所提方法优于代表性方法，F1分数平均提升了2.27%，令人信服地证明了其有效性。

本文其余部分组织如下。第2节介绍了问题描述和加密流量的背景知识。第3节回顾了加密流量分类的相关工作。第4节详细介绍了所提方法。第5节提供了实验结果和分析。最后，第7节对全文进行了总结。

问题描述 加密流量分类任务旨在识别由不同源生成的网络流量并将其分类到适当的类别中。类别指不同的应用程序、网页或服务，在网络安全背景下也可能表示各种类型的恶意流量[21]、[27]。

在本文中，我们关注流级别的加密流量分类任务。一个流是一段加密流量，由共享的单向数据包组成……

相关工作 基于机器学习的方法使用统计特征如流持续时间、数据包数量和数据包长度来分类加密流量。这些人工选择的特征作为各种分类模型的输入。例如，Saber等人[6]使用主成分分析（PCA）选择基于时间的流特征并使用支持向量机（SVM）进行流量分类，而Zhang等人[10]使用隔离森林进行分类。随机森林也被用于……

方法论 在本节中，我们详细介绍了SaGNN，即所提出的用于加密流量分类的语义感知异构图神经网络方法。SaGNN的输入是一个加密流，输出是预测的流量类别。如图3所示，SaGNN由四个主要组件组成。首先，H-TIG构建模块在流级别上将加密流转换为H-TIG。然后，三元嵌入模块在数据包级别上进行细粒度表示以避免……

实验 在本节中，我们首先介绍实验设置，包括所选数据集、数据预处理、实现细节、基线方法和评估指标。然后，我们进行了一系列实验来全面验证所提SaGNN的性能，包括比较实验、消融研究、模型敏感性分析和模型复杂度分析。

讨论 多流建模的可扩展性：SaGNN仅考虑单一流的信息，而现实世界中的网络流可能与其他流表现出复杂的上下文关系。将当前的逐流框架扩展到大规模多流建模可能会在构建和维护大量流图及流间关系方面引入额外的计算和内存开销。因此，未来工作将探索图采样、增量图更新和轻量级……

结论 在本文中，我们提出了一种基于语义感知异构图神经网络的加密流量分类方法，即SaGNN，该方法充分利用了加密流量的内在语义特征。具体来说，加密流被建模为异质流量交互图（H-TIG），它在保留内部交互关系的同时，明确区分了具有不同语义的握手阶段和传输阶段。然后，三元嵌入……

作者贡献声明 罗俊杰：撰写—审阅与编辑、撰写—原稿、可视化、验证、软件、方法论、调查、正式分析、数据管理、概念化。刘敏：撰写—审阅与编辑、监督、资源、项目管理。孙胜：撰写—审阅与编辑、监督。陈亚丽：撰写—审阅与编辑、监督。唐奇寻：验证、软件。王雨薇：监督。

利益冲突声明 作者声明他们没有任何已知的财务利益或个人关系可能影响本文所报道的工作。

致谢 本工作得到了国家自然科学基金（项目编号62472410）的支持。

罗俊杰于2021年获得华中科技大学计算机科学与技术学院工学学士学位。目前他正在中国科学院计算技术研究所和中关村实验室攻读博士学位。他的研究兴趣包括边缘智能、加密流量分析和网络安全。