《Computer Networks》：SupCL-GNN: Supervised contrastive learning with graph neural networks for enhanced encrypted traffic classification
编辑推荐：
摘要随着人们对保持在线活动安全和隐私的关注度提高，网络流量加密的使用显著增加。虽然这增强了用户的网络安全，但加密技术的发展也给加密流量分类带来了新挑战。当前基于深度学习的加密流量分类方法通常直接学习统计特征或原始字节信息的表示，忽略了在不同变换或干扰下保持稳定且与数据语义直接
摘要
随着人们对保持在线活动安全和隐私的关注度提高，网络流量加密的使用显著增加。虽然这增强了用户的网络安全，但加密技术的发展也给加密流量分类带来了新挑战。当前基于深度学习的加密流量分类方法通常直接学习统计特征或原始字节信息的表示，忽略了在不同变换或干扰下保持稳定且与数据语义直接相关的特征。此外，一些现有的加密流量图构建方法生成的图结构拓扑判别能力有限。
为应对这些挑战，本文提出了一个名为 SupCL-GNN 的新型加密流量分类框架。该框架将监督对比学习与图神经网络相结合，引导模型学习抗噪且语义不变的特征。此外，提出了一种称为流量分布图（TDG）的图构建方法，通过融合编码后的数据包字节信息和数据包长度序列特征来建模流量数据，使不同类型的流量表现出不同的拓扑结构。在 ISXC-VPN2016、ISXC-Tor2016、USTC-TFC2016 和 MOBILE-APP 数据集上进行的广泛实验表明，该模型优于基线方法，验证了其在加密流量场景下的有效性和鲁棒性。
引言
加密网络流量的快速增长，源于对隐私和安全的关注度提高，从根本上改变了现代网络生态系统 [1]。加密保护敏感数据免受未经授权的访问，但也对网络流量分析构成了新挑战。传统分析技术如深度包检测（DPI）[2]、[3]、[4] 在应用于加密内容时面临重大限制，因为加密掩盖了载荷语义，且动态端口分配大幅降低了基于端口方法的有效性。尽管提出了结合解密与 DPI 的混合方法，但它们往往引入巨大的计算开销和隐私担忧，这可能损害加密的主要益处。
为应对这些挑战，基于机器学习（ML）和深度学习（DL）的方法应运而生，成为有前途的替代方案。早期的 ML 方法利用统计特征进行分类 [5]、[6]、[7]、[8]，但它们对手动特征工程的依赖限制了其对演变网络动态的适应性。基于深度学习方法，如基于卷积神经网络（CNN）和长短期记忆（LSTM）神经网络的方法，自动提取特征并捕获时空模式 [9]、[10]、[11]、[12]、[13]、[14]。然而，这些深度学习方法固有的固定输入结构可能导致部分信息丢失 [15]。因此，越来越多的研究人员专注于图神经网络（GNN）进行加密流量分类 [15]、[16]、[17]、[18]、[19]、[20]、[21]。GNN 的输入是图结构，比传统神经网络的输入结构更灵活，且更适合流量等非欧几里得数据。
然而，上述用于加密流量分类的深度学习方法通常直接使用统计特征或原始字节信息，忽略了在不同变换或干扰下保持稳定且与数据语义直接相关的特征。此外，一些现有的基于 GNN 的流量分类方法存在图结构拓扑判别能力不足的问题。
为了解决上述问题，我们提出了 SupCL-GNN，一个将监督对比学习与基于图的特征提取相结合的新框架，用于加密流量分类，如图 1 所示。首先，我们的方法从编码原始字节信息开始，采用双嵌入方法以避免语义混淆问题，并进一步自适应融合学习到的头部和载荷表示为整体数据包级表示。然后，我们使用数据包级表示和数据包长度序列构建流量分布图（TDG），以图的形式表示每条流，不同类型的流量分布图具有不同的拓扑结构。最后，我们对流量分布图进行图数据增强，使用 GNN 学习流级表示，并进行监督对比学习，显式引导模型捕获数据的语义不变特征，从而在加密流量场景中实现可靠预测。
总之，本文的主要贡献如下。
- 1.
我们提出了一种流量分类模型 SupCL-GNN，采用监督对比学习增强鲁棒性。该模型对数据包级流量图进行图数据增强，生成同一数据的多个版本，迫使模型忽略这些变化并关注不变特征。这有助于模型忽略噪声或干扰，并集中注意力于与任务目标相关的核心信息。
- 2.
我们提出了一种新的图构建方法，称为流量分布图。这种图构建方法结合了编码后的字节信息和数据包长度分布信息，使得不同类型的流量在图中具有不同的拓扑结构，而同类型的流量表现出相似性。最后，我们使用共享参数的 GNN 进行监督对比学习，以增强流级表示。
- 3.
为评估我们方法的有效性，我们在 ISXC-VPN2016、ISXC-Tor2016、USTC-TFC2016 和 MOBILE-APP 数据集上与几个基线进行了比较。结果表明，我们的方法优于这些现有方法。这种卓越的性能可归因于通过对比学习获得的增强流级表示。
本文其余部分组织如下。在第 2 节中，我们介绍了与加密流量分类相关的预备知识，包括任务定义、应用场景、对比学习原理以及相关工作综述。在第 3 节中，我们详细阐述了 SupCL-GNN 框架的设计，包括数据预处理、数据包级表示学习、TDG 构建和流级对比学习。在第 4 节中，我们进行了广泛的实验以评估所提模型的性能，包括敏感性分析、对比实验、消融实验、流级表示分析和模型复杂度分析。第 5 节总结了论文并概括了我们工作的主要贡献。
章节片段
预备知识
本节首先给出加密流量分类的任务定义，并介绍其典型应用场景。然后，概述了自监督和监督对比学习 [22]。最后，回顾了该领域的相关工作。
方法论
本节中，我们详细介绍了我们的模型。如图 1 所示，我们的模型主要由两部分组成：数据包级表示学习和流级对比学习。数据包级表示学习部分采用双嵌入方法来避免数据包头部和载荷之间的语义混淆 [19]。流级对比学习通过节点和边丢弃对流量分布图进行图增强 [24]，显式
实验
本节首先介绍所使用的数据集，随后详细描述实验设置，包括评估指标和实现细节。然后，我们进行模型敏感性分析以确定流量特征截断的最优配置。接下来，我们将所提模型与现有方法进行比较，并呈现相应的评估指标和性能差距。进行消融实验以验证每个模块的贡献，并且我们
结论
在本文中，我们提出了一种有效的加密流量分类模型。语义不变特征是模型理解数据本质的核心，其学习能力直接决定了模型的鲁棒性和泛化能力。通过引入监督对比学习技术，模型可以被显式引导以捕获这些特征，从而在加密流量场景中实现可靠预测。具体而言，我们的方法从
CRediT 作者贡献声明
李国龙：撰写 – 初稿，软件，方法论，概念化。高远：撰写 – 审阅与编辑，形式分析。任炯炯：撰写 – 审阅与编辑。陈少震：撰写 – 审阅与编辑。
利益冲突声明
作者声明没有已知的竞争性经济利益或个人关系可能影响本文报告的工作。
李国龙 | 高远 | 任炯炯 | 陈少震
