Histogram-XGBoost的Tor匿名流量識別

王騰飛，蔡滿春，岳 婷，蘆天亮

中國人民公安大學 警務信息工程與網(wǎng)絡安全學院，北京100076

Tor網(wǎng)絡作為目前覆蓋范圍最大、活躍節(jié)點最多、服務類型最完善的匿名通信系統(tǒng)，在保護網(wǎng)絡用戶隱私的同時也成為了違法犯罪份子隱匿的空間。對Tor匿名流量的識別是實現(xiàn)網(wǎng)絡監(jiān)管與審查的基礎(chǔ)，有著重要的研究意義和價值。

Tor 匿名流量本質(zhì)上是一種經(jīng)過加密混淆的流量，對其進行識別的本質(zhì)是對加密混淆流量的分類，在該領(lǐng)域，傳統(tǒng)的機器學習方法目前已經(jīng)取得了一定的研究成果，但也存在著模型泛化能力差、健壯性不足、復雜度高等方面的缺陷。本文在分析總結(jié)已有加密流量分類技術(shù)、Tor匿名流量識別分類技術(shù)的基礎(chǔ)上，結(jié)合Tor網(wǎng)絡協(xié)議的特性，提出了一種基于Histogram[1]的Tor 匿名流量特征描述方法，在增加了時間維度相關(guān)特征的基礎(chǔ)上，通過Histogram對相關(guān)特征進一步離散化處理，獲得更加豐富的特征描述信息，提高特征的魯棒性；針對Tor匿名流量連續(xù)、非線性的特點，將XGBoost 集成學習的思想應用到Tor匿名流量識別中，該方法可以很好地處理Tor匿名流量中包長、時間間隔、流持續(xù)時間等非線性的統(tǒng)計特征。圍繞基于XGBoost的Tor匿名流量識別技術(shù)，本文的主要貢獻如下：

（1）提出了一種Tor 匿名流量特征描述方法，針對Tor 匿名流量，在數(shù)據(jù)流粒度下對時間相關(guān)的流量特征進行描述，通過Histogram 對相關(guān)的特征進行離散化處理，提高特征在不同網(wǎng)絡環(huán)境下的魯棒性。

（2）基于XGboost，提出了一種新的Tor匿名流量識別方法，結(jié)合集成學習，將特征提取與模型訓練過程結(jié)合起來，在較小的特征維度下實現(xiàn)對Tor匿名網(wǎng)絡流量數(shù)據(jù)流粒度的識別。較小的特征維度可以使模型更加簡單，該檢測模型也不依賴于任何有關(guān)協(xié)議和拓撲的先驗知識。

1 相關(guān)工作

對加密流量的識別技術(shù)伴隨著流量加密混淆技術(shù)而出現(xiàn)。最初，Tor 目錄服務器與OR 中繼節(jié)點的IP 地址均是公開的，可以直接根據(jù)IP地址識別阻斷Tor匿名通信流量，但隨著Bridge、Meek 等混淆技術(shù)的出現(xiàn)，基于IP地址過濾的方法不再有效。目前針對混淆流量的識別技術(shù)根據(jù)實現(xiàn)原理可以分為兩大類：基于DPI（深度包檢測）的識別技術(shù)和基于機器學習的流量識別技術(shù)[2]，國內(nèi)外主要研究現(xiàn)狀如下：

深度包檢測技術(shù)已經(jīng)應用于一些國家層面的網(wǎng)絡審查[3]，但檢測技術(shù)主要是基于靜態(tài)指紋特征。文獻[4]針對FTE混淆流量提出了一種基于熵的識別方法，將混淆流量中第一個HTTP 報文中GET 字段的URI 信息熵與正常流量進行比較，能夠獲得較高的識別率，但是FTE 混淆插件可以通過自定義正則表達式將流量偽裝成其他協(xié)議類型的流量，致使基于URI熵的識別方法適用性不高。文獻[5]發(fā)現(xiàn)Tor 程序中密碼套件與數(shù)字證書具有一致性，提出了一種基于TLS指紋的Tor流量在線識別方法，能夠在Tor協(xié)議不更換密碼套件與證書序列號的情況下，達到100%的識別率，但當Tor 程序改變了其密碼套件或數(shù)字證書特征時，該方法需同步做出相應的修改。文獻[6]分析總結(jié)出Meek插件7個穩(wěn)定的流特征，提出了通過其中靜態(tài)指紋特征對Meek 流量進行識別的兩種方法，但該方法中較為關(guān)鍵的“輪詢請求特征”易受到網(wǎng)絡環(huán)境的影響，健壯性和矯正能力較差。

基于機器學習的分類方法在加密流量識別中取得了廣泛的應用，但基于機器學習的流量識別與分類過于依賴特征的設(shè)計與選擇，特征的穩(wěn)定性會極大地影響模型的效果。文獻[7]在電路級和數(shù)據(jù)流級分別選取信元數(shù)、上行流量信元總數(shù)、下行信元與上行信元比等特征從電路級和數(shù)據(jù)流級兩個維度上實現(xiàn)Tor流量的分類，但在開放環(huán)境中模型識別效率不佳。文獻[8]通過提取源端口、目的端口、總報文數(shù)等35 種特征，將每一條流視為一個粒子并定義粒子間操作，用重力聚類算法解決Tor 流量分類問題，測試效果優(yōu)于DBSCAN、K-means等聚類算法，但選取的特征的穩(wěn)定性會受到混淆插件的干擾。文獻[9]提出了一種基于兩級過濾的Obfs4 流量檢測方法，依次利用粗粒度的快速過濾和細粒度的準確識別來實現(xiàn)Obfs4流量的高精度實時識別，但該方法對流量數(shù)據(jù)集要求較高，在Tor流量稀疏的環(huán)境中，適用性較差。機器學習方法對特征的健壯性要求較高，隨著Tor 混淆插件的更新，明文字段及部分統(tǒng)計字段的特征開始不再有效，模型識別率會大幅度降低。

深度學習方法能夠避免傳統(tǒng)機器學習提取流特征的過程，在Tor 匿名流量識別中也取得了一定的進展。文獻[10]將原始分組序列作為輸入，用CNN深度神經(jīng)網(wǎng)絡對Tor、網(wǎng)頁、語音、視頻等17 類流量進行分類，達到95%的精確率。但模型依賴的特征數(shù)多，訓練開銷較大。文獻[11]提出了一種基于深度神經(jīng)網(wǎng)絡的方法來檢測異常流量，該方法不依賴于具體的數(shù)據(jù)載荷，通過基于流的入侵檢測模型實現(xiàn)異常流量的識別，但模型更新迭代時間長，實用性不強。雖然深度學習方法實驗中取得了良好效果，但數(shù)據(jù)集需求量大、擴展性差，真實環(huán)境中效果有待驗證。

已有的研究大都建立在網(wǎng)絡環(huán)境穩(wěn)定、數(shù)據(jù)集分布平衡的假設(shè)之上，且機器學習方法存在特征健壯性不強、易失效的問題；深度學習的方法盡管實現(xiàn)了特征的自動提取，但往往需要龐大的特征維度才能夠保證模型的準確率，訓練成本高且模型更迭效率低。從實踐角度出發(fā)，網(wǎng)絡環(huán)境的波動、Tor流量數(shù)據(jù)的稀疏都是不可忽略的現(xiàn)實因素，好的分類模型除了擁有可靠穩(wěn)定的特征設(shè)計外，還應當能夠在一定程度上適應網(wǎng)絡環(huán)境的變化并且能夠?qū)^少樣本數(shù)的類別擁有較好的識別率。因此，本文提出了一種魯棒性強、特征維度小的Tor匿名流量識別模型，論文在數(shù)據(jù)集ISCXTor2016[12]上進行了相關(guān)驗證實驗。

2 基于Histogram-XGboost 的Tor 匿名流量識別方法

本文提出的Tor匿名流量識別模型的核心思想是在計算獲取數(shù)據(jù)流粒度時間相關(guān)性特征的基礎(chǔ)上，對特征進行離散化預處理，利用XGboost對預處理后的特征進行訓練，從而完成對Tor匿名流量的識別。整體架構(gòu)如圖1所示，主要包括流量采集、特征獲取、數(shù)據(jù)預處理以及識別分類四個模塊，分別實現(xiàn)原始流量樣本的收集、數(shù)據(jù)流粒度上時間相關(guān)性特征的計算與預處理、模型訓練與分類三大功能。

圖1 Tor匿名流量識別模型架構(gòu)

2.1 流量采集

Tor 作為目前使用最廣泛的匿名通信系統(tǒng)之一，使用多跳代理機制對用戶通信隱私進行保護，客戶端會基于加權(quán)隨機的路由選擇算法分別選擇3個中繼節(jié)點，根據(jù)洋蔥路由的原理，只有在入口節(jié)點前識別出Tor匿名流量才能有效發(fā)現(xiàn)Tor 匿名網(wǎng)絡用戶[13]。因此，如圖2所示，采集Tor匿名流量的位置一般為網(wǎng)關(guān)節(jié)點，在Tor用戶與洋蔥入口節(jié)點之間的網(wǎng)關(guān)處，通過網(wǎng)絡嗅探獲取流量信息。

圖2 Tor匿名流量采集

2.2 特征獲取

通過dump 等方式捕獲的流量數(shù)據(jù)為pacp 類型文件，由多個數(shù)據(jù)分組構(gòu)成，本文提出的分類模型使用的特征主要是數(shù)據(jù)流粒度上的時間相關(guān)性特征，特征獲取的步驟如下。

2.2.1 數(shù)據(jù)流的生成

數(shù)據(jù)流是由一系列數(shù)據(jù)包構(gòu)成的，這些數(shù)據(jù)包具有相同的{源IP，目標IP，源端口，目標端口和協(xié)議（TCP或UDP）}。在Tor 匿名流量中，所有的流均為TCP 協(xié)議流。數(shù)據(jù)流具有方向，由第一個數(shù)據(jù)報決定數(shù)據(jù)流的方向是向外或者向內(nèi)。

2.2.2 特征的生成

已有的研究工作中，研究人員使用Netmate、pcap2flow、Tranalyzer[14]等工具進行流量分析處理，但這些工具多數(shù)是基于數(shù)據(jù)報字段進行計算，對強加密的Tor匿名流量并沒有很好的效果，本文通過CICflowMeter[15]對pcap流量文件進行處理，來計算基于數(shù)據(jù)流的流量特征。

CICFlowMeter 是一種用Java 編寫的網(wǎng)絡流量流生成器，在選擇計算、功能擴展以及控制流持續(xù)時間等方面提供了很好的靈活性。CICFlowMeter能夠生成雙向流，其中第一個數(shù)據(jù)包確定前向（源到目的地）和后向（目的地到源）方向，分別在正向和反向上計算如持續(xù)時間、數(shù)據(jù)包數(shù)量、字節(jié)數(shù)、數(shù)據(jù)包長度等83 種流量統(tǒng)計特征。特征選擇方法在各種分類任務中起著關(guān)鍵作用，通過從數(shù)據(jù)集中顯示的更多特征中選擇較小的子集，它有助于提高機器學習算法的效率和準確性。

在針對Tor 匿名流量的識別中，文獻[1]和文獻[12]等研究表明，目前提出的大多數(shù)監(jiān)管規(guī)避方法主要混淆了包的長度、包數(shù)量等方面的特征，而流的突發(fā)性以及其時間相關(guān)性特征在這個過程中無法被混淆。因此時間相關(guān)性特征可以較好地區(qū)分不同類別的流量，本文通過CfsSubsetEval 評估器[16]對CIC Flow 產(chǎn)生的83 種流量特征進行評估，最終選擇了12個特征作為XGboost模型的輸入。Cfs SubsetEval通過考慮每個特征的個體預測能力以及它們之間的冗余程度，來評估屬性子集的價值，與子類相關(guān)性高但互相關(guān)性低的要素子集能獲得更高的評分。表1 給出了對應的特征集合(|O|=12)和對應的特征重要性，它們具有Tor流量檢測的最大信息增益和卡方統(tǒng)計量。

表1 時間相關(guān)性特征

如表1 所示，本文使用的時間特性中除流持續(xù)時間、單位時間的流字節(jié)數(shù)以外，還包含前向、后向的流間隔時間以及數(shù)據(jù)包的大小數(shù)量等相關(guān)統(tǒng)計量，相比于文獻[17]提出的Tor 單元計算的方法，保持了流量原始的特征統(tǒng)計信息，具有更好的特征質(zhì)量。

2.3 基于Histogram的數(shù)據(jù)特征預處理

為了提升特征魯棒性，在訓練前對特征進行類離散化處理。如圖3所示，本文通過為每個特征生成一個全局分布，然后使用這些全局分布來填充每個實例的最終特征集，從而獲得比簡單統(tǒng)計更詳細的特征信息。

圖3 特征預處理的步驟

特征的預處理的主要步驟如下：

（1）計算每個時間特征的全局分布。將每個時間相關(guān)的特征進行排序形成有序數(shù)組，這個數(shù)組代表其各自功能的全局分布。對于每個特征的全局分布，將數(shù)據(jù)劃分為b個區(qū)間，使每個區(qū)間擁有相同數(shù)量的元素。每個格子的最小值與最大值構(gòu)成該格子的范圍。

（2）對于每一個特征，創(chuàng)建其全局分布直方圖，每個格子的區(qū)間由全局分布直方圖的區(qū)間范圍給出，在為每個實例生成最終特征集時，將使用直方圖區(qū)間代替原有的數(shù)值型特征，落在每個格子的特征值的個數(shù)作為新的特征值，對新的特征進行標準化處理。

一般使用透射照明觀察較為透明的標本，如吸蟲幼蟲發(fā)育各期、吸蟲成蟲、絳蟲節(jié)片等染色玻片標本或尾蚴、毛蚴等活體標本。這時光從下往上透過樣品，能夠提供明亮有效的照明。而使用落射照明觀察半透明或不透明的標本，如昆蟲若蟲、成蟲等標本，這時光從上往下透過樣品，通過任意調(diào)節(jié)照明的角度觀察標本的立體結(jié)構(gòu)。

更多的分布區(qū)間b能提供更加細粒度分類，但可能會降低特征的魯棒性。使用更少的區(qū)間可以增強特征的魯棒性，但會降低分類的精度。在ISCXTor2016數(shù)據(jù)集上，本文進行了參數(shù)b最佳取值的探索，最終在b=8時，取得了實驗3.3.1節(jié)的最佳分類結(jié)果。

2.4 基于XGBoost的分類識別

Boosting 技術(shù)在解決少樣本數(shù)據(jù)分類方面表現(xiàn)優(yōu)異。XGBoost分類器是Boosting算法的一種擴展，由學習模型、參數(shù)調(diào)節(jié)和最優(yōu)化目標函數(shù)組成。損失函數(shù)中加入了葉子節(jié)點權(quán)重和單決策樹復雜度等正則項，可以防止決策樹模型過于復雜，在訓練速度上較其他算法有著較大的提升[18]。

對于XGBoost來說，設(shè)定合適的樹的深度與目標函數(shù)非常重要，它們決定著模型的復雜程度。XGBoost的目標函數(shù)定義如公式（1）所示：

目標函數(shù)由兩部分組成：損失函數(shù)L(θ)和正則化懲罰項Ω(θ)。其中，L(θ)是微分凸損失函數(shù)，用于測量預測yi與目標yi之間的差異。Ω(θ)是懲罰復雜模型的正則項。其中，T是樹上的葉子數(shù)，γ是學習率，其值在0到1之間。γ乘以T等于生成樹修剪，以防止過度擬合。

在公式（1）中由于存在以函數(shù)為參數(shù)的模型懲罰項，傳統(tǒng)方法無法進行優(yōu)化。因此，需要通過公式（2）來計算目標yi。

優(yōu)化目標是構(gòu)建一個樹結(jié)構(gòu)，以最小化每次迭代中的目標函數(shù)。樹結(jié)構(gòu)從前一棵樹的結(jié)論和殘差（殘差=實際值－預測值）中學習，從而擬合出當前的殘差回歸樹。St(Ti)表示實例i在第t輪迭代中生成的樹。

由于方程的目標函數(shù)（2）在求解平方損失函數(shù)的過程中是最優(yōu)的，對于求解其他損失函數(shù)來說則變得非常復雜。因此，通過二階泰勒展開得到公式（3），從而求解其他損失函數(shù)。其中最終目標函數(shù)取決于誤差函數(shù)中每個數(shù)據(jù)點的一階和二階導數(shù)，這也加快了其優(yōu)化速度。

模型在數(shù)據(jù)流粒度上設(shè)計了時間相關(guān)性特征以解決填充混淆帶來的字段特征失效問題，通過基于Histogram的預處理方法進一步提高特征的魯棒性以適應網(wǎng)絡環(huán)境的變化，最后使用XGBoost 分類器來解決Tor 流量樣本分布不均衡的問題，實現(xiàn)了較小維度特征的Tor匿名流量的快速識別。

3 實驗評估

為了驗證Histogram-XGBoost 模型的可行性、分類效果以及模型的穩(wěn)定性，本文基于sklearn接口[20]實現(xiàn)了模型代碼并進行了驗證實驗，實驗環(huán)境參數(shù)如表2所示。

表2 實驗環(huán)境相關(guān)參數(shù)

3.1 數(shù)據(jù)集

實驗使用的數(shù)據(jù)集由Tor 匿名網(wǎng)絡流量、正常流量兩個部分組成，其中Tor 匿名流量包括來自ISCX Tor 2016的Tor匿名流量以及實驗室環(huán)境下采集的Tor瀏覽器流量。

ISCX Tor 2016 是取自加拿大網(wǎng)絡安全研究所網(wǎng)站的開源數(shù)據(jù)集，由TCPdump捕獲，共22 GB，包括一個Tor 匿名流量文件以及一個正常流量文件，數(shù)據(jù)集構(gòu)成如表3所示。

表3 ISCX Tor數(shù)據(jù)集情況

Tor瀏覽器流量則為實驗室環(huán)境下通過Tor Browser Crawler[21]采集的訪問不同應用類型網(wǎng)站產(chǎn)生的Tor匿名流量，流量采集分別在低速（下行20 Mbit/s/上行12 Mbit/s）、正常（下行50 Mbit/s/上行30 Mbit/s）、高速（下行80 Mbit/s/上行50 Mbit/s）三種網(wǎng)絡鏈路狀態(tài)下進行，同時也采集了3 種網(wǎng)絡鏈路狀態(tài)下的正常的網(wǎng)絡流量。數(shù)據(jù)集構(gòu)成如表4所示。

表4 Tor瀏覽器流量數(shù)據(jù)集情況

3.2 評估指標

實驗結(jié)果的評價指標主要包括：分類的準確率（ACC），包括兩種類型流量的準確率、召回率以及所有類別的整體的準確率。具體而言：

類的準確率ACCi=TPi/(TPi+FPi)

類的召回率Ti=TPi/(TPi+FNi)

整體準確率ACC=TP+TN/(TP+TN+FP+FN)

其中，TP是將正類預測為正類的數(shù)量，TN是將負類預測為負類的數(shù)量，F(xiàn)P是將負類預測為正類的數(shù)量，F(xiàn)N是將正類預測為負類的數(shù)量。

3.3 實驗分析

本文共設(shè)置2組實驗：（1）識別Tor匿名流量的二分類實驗，主要用于驗證本文提出的識別模型的有效性，并將實驗結(jié)果同使用SVM、隨機森林兩種分類器產(chǎn)生的結(jié)果進行比較；（2）網(wǎng)絡鏈路環(huán)境的影響實驗，用于驗證本文提出的特征預處理方法對不同網(wǎng)絡環(huán)境的適用性。

3.3.1 基于XGboost的匿名流量識別

本節(jié)實驗的主要目的是從背景流量中有效識別出Tor匿名流量。SVM在傳統(tǒng)的分類任務中表現(xiàn)優(yōu)異，文獻[5-6，22]中均選擇了SVM作為相應模型的分類器，因此本文將提出的識別模型與SVM、隨機森林方法進行對比。此外，本文也對文獻[9]中提出的基于深度學習識別加密流量的方法進行了復現(xiàn)，在同一數(shù)據(jù)集上對比了模型的分類效果。

實驗結(jié)果如表5所示，其中類別0代表正常流量，類別1代表不同應用類型下的Tor匿名流量。

表5 流量識別實驗結(jié)果

表5 與圖4 的結(jié)果表明，本文提出的基于XGboost的模型可以很好地從背景流量中識別出Tor匿名流量，平均精度高達98.75%，與對照模型相比，本文提出模型的召回率更高，在網(wǎng)絡監(jiān)管任務中，更高的召回率意味著更低的漏報率。

圖4 流量識別實驗結(jié)果對比

3.3.2 不同網(wǎng)絡鏈路環(huán)境的適應性

本文的方案中所使用的特征多數(shù)為數(shù)據(jù)流粒度下的時間相關(guān)性特征，為了提高特征的健壯性，減少網(wǎng)絡延時、擁堵等對模型精確度的影響[23]，在特征預處理階段，使用了基于Histrogm的特征預處理方法來提高特征的魯棒性，本節(jié)實驗的主要目的是通過探索不同網(wǎng)絡鏈路環(huán)境下模型的識別效果，來驗證本文提出的特征預處理方案的有效性。

本節(jié)實驗中，分別使用標準化預處理和本文提出的Histrogm特征預處理方法進行預處理，隨后將本文提出的XGboost 模型在正常鏈路狀態(tài)收集的數(shù)據(jù)集下進行訓練，最后在三種數(shù)據(jù)集的測試集中進行測試。實驗結(jié)果如表6所示。

表6 不同鏈路狀態(tài)下對比實驗

表6 與圖5 的結(jié)果表明，時間相關(guān)性特征確實會受到網(wǎng)絡鏈路狀態(tài)的影響。較快的鏈路速度相比較慢的鏈速度對模型識別準確的影響程度更大，本文提出的特征預處理方法相比于只是用標準化處理的方法能夠有效減少網(wǎng)絡鏈路波動對模型準確性的影響。

圖5 鏈路適應性實驗結(jié)果對比

4 結(jié)束語

本文提出了一種Tor 匿名網(wǎng)絡流量分類識別模型。通過對時間相關(guān)性特征進行基于Histrogm 的離散化預處理，提高特征的健壯性。在ISCXTor2016數(shù)據(jù)集上進行驗證實驗，將實驗結(jié)果與SVM、隨機森林等在加密流量識別中表現(xiàn)較好的分類模型進行比較，結(jié)果表明本文模型在準確性與召回率上表現(xiàn)較好。因為本文使用的特征多數(shù)為時間相關(guān)性特征，將Histogram-XGBoost 模型在不同網(wǎng)絡鏈路狀態(tài)下收集的Tor匿名流量上進行識別對比。實驗結(jié)果表明，經(jīng)過預處理后的時間相關(guān)性特征具有較好的健壯性，本文提出的模型受網(wǎng)絡環(huán)境影響較小。

在實驗中發(fā)現(xiàn)，流超時時間的選擇在一定程度上影響著數(shù)據(jù)收集的質(zhì)量以及后續(xù)分類識別的準確率，下一步計劃通過在不同的流超時時間下收集數(shù)據(jù)進行實驗對比，探究能夠提高識別效率的流超時時間，最終目標是在真實網(wǎng)絡環(huán)境中實現(xiàn)匿名網(wǎng)絡流量的快速檢測。