楊立圣 羅文華 中國刑事警察學(xué)院

引言

隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，流量數(shù)據(jù)的傳輸更為頻繁。計(jì)算機(jī)網(wǎng)絡(luò)作為傳輸信息數(shù)據(jù)的重要載體，若其存在安全漏洞及缺陷，且流量數(shù)據(jù)以非加密形式傳輸，那么數(shù)據(jù)的安全性和可靠性將無法保證。流量加密技術(shù)是保障網(wǎng)絡(luò)數(shù)據(jù)的隱私性和安全性的重要手段。近些年來，隨著加密技術(shù)不斷發(fā)展，流量加密技術(shù)也廣泛應(yīng)用于數(shù)據(jù)傳輸過程中。在2019年已有超過80%的網(wǎng)絡(luò)流量加密傳輸，且加密流量占網(wǎng)絡(luò)流量的比率仍在逐年升高[1]。加密流量雖保護(hù)了用戶數(shù)據(jù)的隱私和安全，但也為惡意加密流量的檢測識(shí)別帶來了巨大挑戰(zhàn)。攻擊者可使用流量加密技術(shù)隱藏惡意流量，從而逃避網(wǎng)絡(luò)安全審計(jì)系統(tǒng)的識(shí)別與檢測[2]，這為公安機(jī)關(guān)打擊黑客類網(wǎng)絡(luò)犯罪、維護(hù)網(wǎng)絡(luò)空間的秩序和安全帶來了困難。因此，如何有效地識(shí)別檢測惡意加密流量，對(duì)于公安機(jī)關(guān)維護(hù)網(wǎng)絡(luò)空間安全、有效打擊黑客類網(wǎng)絡(luò)犯罪、提升網(wǎng)絡(luò)監(jiān)管效率具有重要意義。

一、相關(guān)研究及本文貢獻(xiàn)

（一）相關(guān)研究

惡意網(wǎng)絡(luò)流量檢測是對(duì)大量通過網(wǎng)絡(luò)傳輸?shù)街鳈C(jī)的流量數(shù)據(jù)進(jìn)行實(shí)時(shí)檢測，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)攻擊行為的過程[3]。惡意網(wǎng)絡(luò)流量檢測是網(wǎng)絡(luò)入侵系統(tǒng)的關(guān)鍵應(yīng)用，也是網(wǎng)絡(luò)入侵檢測系統(tǒng)的研究重點(diǎn)。目前針對(duì)網(wǎng)絡(luò)流量的檢測研究發(fā)展迅速，從發(fā)展進(jìn)程的角度來看，惡意流量識(shí)別方法可以大致分為四種[4]：基于端口號(hào)方法、深度包檢測方法、機(jī)器學(xué)習(xí)方法以及深度學(xué)習(xí)方法。基于端口號(hào)的方法主要是根據(jù)流量包中的端口號(hào)來進(jìn)行流量識(shí)別，但隨著網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，此方法的缺陷也越來越明顯[5]。新產(chǎn)生的應(yīng)用會(huì)定義通信端口號(hào)，端口號(hào)與應(yīng)用之間的對(duì)應(yīng)關(guān)系可能會(huì)發(fā)生改變；某些應(yīng)用在數(shù)據(jù)傳輸時(shí)采用的端口號(hào)不固定；多個(gè)服務(wù)的數(shù)據(jù)包可能采用同一個(gè)端口號(hào)，這些問題都導(dǎo)致了采用該方法進(jìn)行流量識(shí)別無法滿足目前對(duì)識(shí)別準(zhǔn)確性和可靠性的要求。深度包檢測方法主要是對(duì)整個(gè)數(shù)據(jù)包進(jìn)行檢測，匹配關(guān)鍵字以及數(shù)據(jù)包的行為模式，但該方法主要針對(duì)的是未加密流量。由于加密流量和非加密流量存在較大的差異[6]，如：加密流量和非加密流量的內(nèi)容顯著不同、不同的網(wǎng)絡(luò)協(xié)議也會(huì)采用不同的加密算法等，這些都為加密流量的識(shí)別檢測帶來了巨大困難[7]。為了對(duì)加密流量進(jìn)行有效識(shí)別，產(chǎn)生了基于特征工程的機(jī)器學(xué)習(xí)方法，該方法依賴于統(tǒng)計(jì)或者時(shí)間序列特征，利用機(jī)器學(xué)習(xí)的算法實(shí)現(xiàn)加密流量分類。但基于機(jī)器學(xué)習(xí)的方法在特征工程階段代價(jià)較高，識(shí)別結(jié)果依賴于所選定的特征，這使得其泛化性不強(qiáng)。深度學(xué)習(xí)方法避免了復(fù)雜的特征工程，該方法通過原始輸入和對(duì)應(yīng)標(biāo)簽學(xué)習(xí)兩者之間的非線性關(guān)系，通過學(xué)習(xí)自動(dòng)提取特征并實(shí)現(xiàn)分類。基于原始流量表示的深度學(xué)習(xí)模型結(jié)構(gòu)雖然可以對(duì)加密流量數(shù)據(jù)特征進(jìn)行自動(dòng)提取，但其主要依據(jù)是帶有標(biāo)簽的流量數(shù)據(jù)，并未充分挖掘無標(biāo)簽的流量數(shù)據(jù)特征。

目前，使用深度學(xué)習(xí)技術(shù)中預(yù)訓(xùn)練模型進(jìn)行惡意加密流量的研究較少。盡管PERT[8]開創(chuàng)了將預(yù)訓(xùn)練模型引入加密流量任務(wù)分類的先河，但其方法較為生硬，缺乏輸入表示和預(yù)訓(xùn)練任務(wù)的設(shè)計(jì)，影響分類效果。突發(fā)（Burst）特征作為加密流量的一種重要特征[9]，比較廣泛應(yīng)用于機(jī)器學(xué)習(xí)方法，但特征工程提取的突發(fā)特征僅僅有長度信息，其深層次的特征信息并未被有效發(fā)掘。ET-BERT[10]提取突發(fā)流量數(shù)據(jù)作為模型輸入序列，并采用預(yù)訓(xùn)練任務(wù)發(fā)掘突發(fā)特征的深層特征信息，但其提出的掩碼BURST任務(wù)以靜態(tài)方式對(duì)突發(fā)特征進(jìn)行遮罩，降低了訓(xùn)練數(shù)據(jù)的多樣性以及數(shù)據(jù)的復(fù)用效率。

（二）本文貢獻(xiàn)

為了更好地提取惡意加密流量特征，實(shí)現(xiàn)對(duì)惡意加密流量的有效檢測，本文提出了一種改進(jìn)RoBERTa的惡意加密流量檢測方法。首先將無標(biāo)簽的流量數(shù)據(jù)進(jìn)行編碼，轉(zhuǎn)換為由標(biāo)記組成的輸入表示。為使RoBERTa適應(yīng)惡意加密流量檢測任務(wù)的需求，對(duì)RoBERTa進(jìn)行改進(jìn)，提出了動(dòng)態(tài)突發(fā)遮罩任務(wù)以學(xué)習(xí)表征信息并進(jìn)行預(yù)訓(xùn)練，再利用預(yù)訓(xùn)練后得到的模型在惡意流量檢測任務(wù)上，使用少量帶標(biāo)簽的流量數(shù)據(jù)進(jìn)行參數(shù)微調(diào)，以達(dá)到更好的檢測效果。

本文的主要貢獻(xiàn)如下：

（1）將RoBERTa模型引入惡意加密流量檢測任務(wù)，并對(duì)其進(jìn)行改進(jìn)，提出動(dòng)態(tài)突發(fā)遮罩預(yù)訓(xùn)練任務(wù)，利用大規(guī)模無標(biāo)簽加密流量數(shù)據(jù)進(jìn)行預(yù)訓(xùn)練，使模型充分挖掘無標(biāo)簽的流量數(shù)據(jù)特征。

（2）以加密流量中的突發(fā)流量特征作為分類依據(jù)，充分考慮到突發(fā)流量特征的重要性和強(qiáng)顯性。

（3）將突發(fā)流量特征轉(zhuǎn)化為匹配模型的標(biāo)記特征，避免了復(fù)雜的特征工程，并提高了模型的遷移能力。

二、面向惡意流量檢測的RoBERTa模型改進(jìn)

RoBERTa模型原本是應(yīng)用于自然語言處理領(lǐng)域的預(yù)訓(xùn)練模型，是對(duì)BERT[11]模 型的改進(jìn)版本。Liu等人[12]對(duì)BERT 模型進(jìn)行研究發(fā)現(xiàn)，BERT仍存在較大的優(yōu)化空間，并針對(duì)BERT模型中的一些設(shè)計(jì)缺陷，進(jìn)行合理地優(yōu)化，提出了RoBERTa預(yù)訓(xùn)練模型。RoBERTa在BERT預(yù)訓(xùn)練模型的基礎(chǔ)上，將掩碼語言模型進(jìn)行修改，提出了動(dòng)態(tài)掩碼技術(shù)，使模型在預(yù)訓(xùn)練階段可以挖掘語料庫的更深層次特征信息。RoBERTa在一系列自然語言處理任務(wù)中取得了優(yōu)于BERT的效果。由于RoBERTa在自然語言處理任務(wù)中性能表現(xiàn)優(yōu)異，考慮將RoBERTa模型引入惡意流量檢測任務(wù)，但引入過程不能生搬硬套，需要對(duì)一些技術(shù)細(xì)節(jié)進(jìn)行重新設(shè)計(jì)。為了使其匹配惡意加密流量檢測任務(wù)，對(duì)其進(jìn)行如下改進(jìn)。

（一）輸入表示

數(shù)據(jù)流量可能包含不同種類的數(shù)據(jù)流，為了使表征更具有穩(wěn)定性和區(qū)別性，首先從原始數(shù)據(jù)中將具有相同協(xié)議、IP地址、端口號(hào)的數(shù)據(jù)流相分離，使每一部分都包含同種類型流量的完整會(huì)話，再從完整會(huì)話中得到突發(fā)流量。在加密流量分類領(lǐng)域，突發(fā)特征是一種極為重要的特征。突發(fā)是方向相同的連續(xù)流序列，其中流序列必須滿足源IP地址、源端口號(hào)、目的IP地址、目的端口號(hào)以及協(xié)議均相同。突發(fā)可用（1）、（2）式表示。

普通高中財(cái)務(wù)會(huì)計(jì)核算工作的質(zhì)量會(huì)影響到高中資金活動(dòng)的使用，所以需要提升會(huì)計(jì)核算的質(zhì)量和效率。就目前的具體分析來看，如何在會(huì)計(jì)實(shí)務(wù)中，會(huì)計(jì)核算的項(xiàng)目確定清楚，具體核算的內(nèi)容明確，有效的避免核算的紕漏，在會(huì)計(jì)核算中明確內(nèi)容十分的必要。基于此，從高中具體工作實(shí)踐入手對(duì)會(huì)計(jì)核算的具體內(nèi)容做清楚的分析，然后基于內(nèi)容討論研究會(huì)計(jì)核算質(zhì)量提升的策略和方法，這于實(shí)踐工作而言價(jià)值十分突出。

其中n表示單向數(shù)據(jù)包的數(shù)量，t表示數(shù)據(jù)包具有相同的IP地址、源端口號(hào)、目的IP地址、目的端口號(hào)以及協(xié)議。

獲得突發(fā)后，需要將突發(fā)轉(zhuǎn)換為可以用于預(yù)訓(xùn)練的標(biāo)記。將用十六進(jìn)制位表示的突發(fā)，按照兩個(gè)字節(jié)為單位進(jìn)行分組。將分組后的數(shù)值單位進(jìn)行編碼，編碼范圍為0到65535，每個(gè)單位都有唯一的編碼與之對(duì)應(yīng)，并將單位與編碼的記錄生成詞表，該詞表的最大記錄長度為65536。詞表中還需包含特殊標(biāo)記，如[CLS]、[PAD]、[MASK]。其中[CLS]主要用于實(shí)現(xiàn)分類任務(wù)，與[CLS]對(duì)應(yīng)的最后一層隱藏層輸出向量表示為輸入對(duì)應(yīng)的類別信息。[PAD]為填充符號(hào)，當(dāng)輸入序列不滿足最小長度要求時(shí)會(huì)使用[PAD]標(biāo)記填充到指定長度。[MASK]為遮罩標(biāo)記，用于預(yù)訓(xùn)練任務(wù)中對(duì)突發(fā)轉(zhuǎn)換成的標(biāo)記序列進(jìn)行遮罩。將流量轉(zhuǎn)化為符號(hào)表示的過程如圖1。

獲得標(biāo)記后，需要將標(biāo)記轉(zhuǎn)換為向量表示，該向量稱為輸入表示，生成輸入表示過程如圖2。

輸入表示由標(biāo)記向量與位置向量之和組成。輸入表示v計(jì)算公式如式（3）。

其中v t表 示標(biāo)記向量，v p表示位置向量。

標(biāo)記向量是由標(biāo)記向量矩陣和輸入序列相乘得到的實(shí)值向量表示。標(biāo)記向量v t的計(jì)算公式如式（4）。

其中e t為輸入序列的向量表示，xx表示詞表大小，N為最大序列長度，d為標(biāo)記向量維度，這里d=768。

位置向量用來表示每個(gè)輸入標(biāo)記的位置信息。位置向量v p的計(jì)算公式如式（5）。流量數(shù)據(jù)中位置與傳輸?shù)臅r(shí)間及順序有較大關(guān)系，使用位置向量就可以很好地學(xué)習(xí)這些關(guān)系。將輸入標(biāo)記按照位置順序產(chǎn)生位置編碼，再利用位置向量矩陣與位置編碼相乘得到位置向量。

其中e p為輸入序列的位置編碼N為最大序列長度，d為位置向量維度，這里d=768。

（二）嵌入表示

獲得輸入表示后，輸入表示會(huì)經(jīng)過多層Transformer編碼器結(jié)構(gòu)。Transformer編碼器結(jié)構(gòu)如圖3。

Transformer編碼器的核心就是多頭自注意力機(jī)制，采用該機(jī)制可以捕獲突發(fā)中的流量數(shù)據(jù)符號(hào)表示的前后依賴信息。通過使用三個(gè)不同的權(quán)重矩陣W q、W k、W v將輸入向量分別映射為查詢向量（Q）、鍵向量（K）和值向量（V），并通過式（6）計(jì)算出注意力輸出結(jié)果。再通過式（7）和式（8）拼接計(jì)算再次映射，生成一個(gè)最終的多頭注意力值。

其中：

將多頭注意力值與輸入表示相加，再通過正則化和全連接層，將正則化后的結(jié)果與通過全連接層后得到的結(jié)果再進(jìn)行相加操作，所得結(jié)果再進(jìn)行正則化，得到單層的Transformer編碼器的輸出結(jié)果。輸入表示通過多層的Transformer編碼器模塊，最終得到嵌入表示結(jié)果。

（三）動(dòng)態(tài)突發(fā)遮罩任務(wù)

預(yù)訓(xùn)練階段就是通過大規(guī)模的流量數(shù)據(jù)，采用特定預(yù)訓(xùn)練任務(wù)更新網(wǎng)絡(luò)結(jié)構(gòu)中的權(quán)重和偏置，以達(dá)到輸入表示的最好嵌入表示結(jié)果。在預(yù)訓(xùn)練階段中，預(yù)訓(xùn)練任務(wù)的設(shè)計(jì)極為重要。預(yù)訓(xùn)練任務(wù)設(shè)計(jì)的基本思想是，對(duì)于突發(fā)流量數(shù)據(jù)輸入表示的單個(gè)標(biāo)記進(jìn)行遮罩，使模型完成類似于完形填空的任務(wù)，以學(xué)習(xí)流量特征信息。

由于靜態(tài)遮罩會(huì)降低訓(xùn)練數(shù)據(jù)的多樣性及數(shù)據(jù)的復(fù)用效率，提出動(dòng)態(tài)突發(fā)遮罩任務(wù)。動(dòng)態(tài)突發(fā)遮罩任務(wù)示意圖如圖4。

動(dòng)態(tài)突發(fā)遮罩任務(wù)在預(yù)訓(xùn)練階段采用，該任務(wù)的核心是在預(yù)訓(xùn)練過程中實(shí)時(shí)決定掩碼位置，對(duì)流量標(biāo)記進(jìn)行遮罩，并令模型預(yù)測被遮罩的內(nèi)容，以學(xué)習(xí)突發(fā)的深層特征信息。在對(duì)預(yù)訓(xùn)練的訓(xùn)練數(shù)據(jù)加載過程中，獲取當(dāng)前序列的序列長度，利用隨機(jī)產(chǎn)生整數(shù)的函數(shù)，從0到序列長度-1的范圍內(nèi)生成一個(gè)隨機(jī)數(shù)，將該隨機(jī)數(shù)對(duì)應(yīng)位置的標(biāo)記單元進(jìn)行遮罩。這樣可以保證無論訓(xùn)練多少輪，都可以在最大程度上保證同一個(gè)突發(fā)流量在不同輪次下產(chǎn)生不同的掩碼遮罩方式。

三、實(shí)驗(yàn)及結(jié)果分析

（一）數(shù)據(jù)集及預(yù)處理

本文選用ISCX-VPN加密流量數(shù)據(jù)集驗(yàn)證模型對(duì)加密流量的分類效果，選用USTC-TFC加密流量數(shù)據(jù)集驗(yàn)證模型對(duì)惡意加密流量的檢測效果。ISCX-VPN數(shù)據(jù)集按照流量類型分為ISCX-VPN-App和ISCX-VPN-Service。將數(shù)據(jù)集中每一類別的流量隨機(jī)選出5000個(gè)樣本，不足5000的選擇其所有樣本。隨機(jī)選擇后的數(shù)據(jù)集統(tǒng)計(jì)信息如表1～表3所示。

?

?

?

將樣本中的ARP與DHCP等無關(guān)數(shù)據(jù)包刪除，避免其對(duì)實(shí)驗(yàn)產(chǎn)生影響。對(duì)于分組的首部，去除以太網(wǎng)幀首部、IP首部，以及TCP首部中的協(xié)議端口信息等具有強(qiáng)指向性的信息。在使用微調(diào)實(shí)現(xiàn)分類任務(wù)時(shí)，將數(shù)據(jù)集按照8:1:1的比例劃分為訓(xùn)練集、驗(yàn)證集和測試集。

（二）實(shí)驗(yàn)環(huán)境及超參數(shù)設(shè)置

本文實(shí)驗(yàn)采用物理主機(jī)連接云服務(wù)器的方式，使用云服務(wù)器運(yùn)行Python腳本。物理主機(jī)使用SSH連接Linux云服務(wù)器。云服務(wù)器的環(huán)境配置如下：處理器為AMD EPYC 7601 256G 64核，實(shí)際分配16核CPU，顯卡為NVIDIA GeForce RTX 3090，顯存大小為24GB，代碼基于Python3.8，深度學(xué)習(xí)框架主要使用PyTorch 1.12.0+CUDA 11.3版本，運(yùn)行內(nèi)存為256GB，實(shí)際分配64GB。

用于惡意加密流量檢測的改進(jìn)RoBERTa模型參數(shù)設(shè)置如下：改進(jìn)的RoBERTa包含12層Transformer編碼器，隱藏層維度為768，有12個(gè)自注意力頭，在預(yù)訓(xùn)練階段僅采用動(dòng)態(tài)突發(fā)遮罩任務(wù)。模型選擇NLLLoss損失函數(shù)，優(yōu)化器選擇AdamW，批量大小為32，學(xué)習(xí)率為2e-5，epoch大小為10。

（三）評(píng)價(jià)指標(biāo)

本文對(duì)加密流量檢測任務(wù)的評(píng)價(jià)指標(biāo)采用四種常用的指標(biāo)：準(zhǔn)確率、精確率、召回率、F1。四種指標(biāo)的計(jì)算方法為：

對(duì)于全部類別分類情況的評(píng)估，采用宏平均的方式進(jìn)行計(jì)算。

（四）實(shí)驗(yàn)結(jié)果

為了驗(yàn)證模型對(duì)加密流量分類任務(wù)的有效性，本文選擇了幾種常見的用于加密流量分類任務(wù)的深度學(xué)習(xí)方法，分別是：Deep Fingerprinting（DF）、FS-Net、GraphDApp、Deeppacket、PERT。其在ISCX-VPN數(shù)據(jù)集上的實(shí)驗(yàn)結(jié)果[9]與改進(jìn)的RoBERTa模型在ISCX-VPN數(shù)據(jù)集上的實(shí)驗(yàn)結(jié)果進(jìn)行對(duì)比，實(shí)驗(yàn)結(jié)果如表4、表5。

?

?

實(shí)驗(yàn)結(jié)果表明改進(jìn)的RoBERTa模型在對(duì)加密流量檢測分類任務(wù)上確實(shí)有效，且效果較其它方法更為理想。相較于沒有使用預(yù)訓(xùn)練模型的深度學(xué)習(xí)檢測方法，改進(jìn)的RoBERTa模型對(duì)加密流量的分類效果有顯著提升。相較于未對(duì)模型設(shè)計(jì)預(yù)訓(xùn)練任務(wù)和輸入表示的PERT模型，該方法也優(yōu)于PERT模型的分類效果。相較于使用掩碼突發(fā)模型預(yù)訓(xùn)練任務(wù)的ET-BERT模型，動(dòng)態(tài)突發(fā)遮罩任務(wù)使模型學(xué)習(xí)到更深層次的突發(fā)特征信息，可以有效地提高分類效果。

為了驗(yàn)證該模型在惡意加密流量檢測任務(wù)中的表現(xiàn)效果，選用上述深度學(xué)習(xí)及預(yù)訓(xùn)練模型在數(shù)據(jù)集USTCTFC上進(jìn)行實(shí)驗(yàn)，實(shí)驗(yàn)結(jié)果如表6。

?

從實(shí)驗(yàn)結(jié)果來看，改進(jìn)RoBERTa模型對(duì)于惡意加密流量的檢測效果要優(yōu)于其他模型，該模型與其他未使用預(yù)訓(xùn)練模型的深度學(xué)習(xí)方法效果對(duì)比較為明顯，改進(jìn)的RoBERTa在準(zhǔn)確率、精確率、召回率和F1分?jǐn)?shù)上均有顯著提升。

四、結(jié)語

針對(duì)惡意加密流量與日俱增的現(xiàn)狀及現(xiàn)有惡意加密流量檢測技術(shù)檢測效率低下的問題，本文提出一種改進(jìn)的RoBERTa模型，該模型在自然語言處理中的RoBERTa模型基礎(chǔ)上，為保證其可以遷移到惡意加密流量檢測任務(wù)，對(duì)模型進(jìn)行了調(diào)整。首先從流量中提取突發(fā)，并將其轉(zhuǎn)化為RoBERTa模型可接受的輸入表征形式。在預(yù)訓(xùn)練階段采用動(dòng)態(tài)突發(fā)遮罩，以實(shí)現(xiàn)對(duì)突發(fā)深層次特征的有效挖掘。實(shí)驗(yàn)結(jié)果表明該模型對(duì)于加密流量具有良好的分類能力且對(duì)惡意加密流量檢測也可以達(dá)到很好的效果，有助于公安機(jī)關(guān)提高預(yù)警、研判、打擊黑客類網(wǎng)絡(luò)犯罪活動(dòng)的效率。

但本文在改進(jìn)的RoBERTa模型的預(yù)訓(xùn)練階段僅僅使用了動(dòng)態(tài)突發(fā)遮罩，并未對(duì)不同突發(fā)之間的深層關(guān)系進(jìn)行考量。下一步將對(duì)跨文檔整句輸入任務(wù)進(jìn)行改進(jìn)，使其適應(yīng)惡意加密流量檢測任務(wù)，以獲得更好的實(shí)驗(yàn)結(jié)果，并增加其在打擊黑客類網(wǎng)絡(luò)犯罪活動(dòng)中的實(shí)踐應(yīng)用。