崔見泉，周延森，劉博宇，郝嘉琪

（1.國(guó)際關(guān)系學(xué)院研究生部；2.國(guó)際關(guān)系學(xué)院 網(wǎng)絡(luò)空間安全學(xué)院，北京 100091）

0 引言

隨著網(wǎng)絡(luò)技術(shù)的高速發(fā)展，人們的信息保護(hù)意識(shí)逐漸增強(qiáng)，匿名通信系統(tǒng)使得網(wǎng)絡(luò)中的加密流量快速增長(zhǎng)。然而，匿名通信系統(tǒng)在保護(hù)用戶隱私的同時(shí)，也帶來了新的安全隱患。一些不法分子基于洋蔥路由（The Onion Router，Tor）、虛擬專用網(wǎng)（Virtual Private Network，VPN）等匿名通信技術(shù)，架設(shè)需要通過特殊軟件才能訪問的網(wǎng)絡(luò)服務(wù)，形成了無法用常用搜索引擎直接檢索的暗網(wǎng)。暗網(wǎng)中充斥著各種非法活動(dòng)，給社會(huì)帶來了巨大危害［1］。因此，分析暗網(wǎng)流量有助于針對(duì)性地監(jiān)視惡意軟件，及時(shí)檢測(cè)攻擊行為，對(duì)于維護(hù)網(wǎng)絡(luò)安全有著重要意義。

1 相關(guān)研究

國(guó)內(nèi)外學(xué)者對(duì)暗網(wǎng)流量檢測(cè)進(jìn)行了不少研究。如文獻(xiàn)［2］提出基于決策樹的Tor 流量檢測(cè)方法與基于Tri-Training的分類方法，能夠較準(zhǔn)確地對(duì)Tor 流量進(jìn)行識(shí)別與分類；文獻(xiàn)［3］利用現(xiàn)有的入侵檢測(cè)系統(tǒng)，針對(duì)暗網(wǎng)流量中的探測(cè)活動(dòng)（probing activities）制定檢測(cè)策略。隨著深度學(xué)習(xí)的迅速發(fā)展，一些學(xué)者將深度學(xué)習(xí)算法應(yīng)用于加密流量檢測(cè)中［4］。如文獻(xiàn)［5］提出一種基于人工蜂群算法的Tor 流量識(shí)別方法，該方法通過搭建深度神經(jīng)網(wǎng)絡(luò)，使用人工蜂群機(jī)制代替常見的迭代算法，提高了識(shí)別準(zhǔn)確率；文獻(xiàn)［6-7］通過分析基于時(shí)序的特征，提出基于神經(jīng)網(wǎng)絡(luò)的分類模型對(duì)不同類別的加密網(wǎng)絡(luò)流量進(jìn)行識(shí)別與分類；文獻(xiàn)［8］提出一種基于卷積神經(jīng)網(wǎng)絡(luò)、長(zhǎng)短期記憶人工神經(jīng)網(wǎng)絡(luò)與注意力機(jī)制的分類模型，綜合考慮了加密流量的空間與時(shí)序特征，提高了對(duì)VPN 流量與非VPN 流量的分類準(zhǔn)確率。然而，大多數(shù)研究?jī)H對(duì)使用單一加密技術(shù)的流量進(jìn)行分類［9-13］，而暗網(wǎng)中存在多種類型的加密流量，現(xiàn)有方法在復(fù)雜環(huán)境下的分類準(zhǔn)確率與效率有待驗(yàn)證。

近年來，大型深層卷積神經(jīng)網(wǎng)絡(luò)在圖像領(lǐng)域的分類準(zhǔn)確率不斷提升，將其拓展應(yīng)用于其他領(lǐng)域具有一定研究?jī)r(jià)值。因此，本文使用較為成熟的Resnet、Densenet 與Xception 卷積神經(jīng)網(wǎng)絡(luò)模型，分別應(yīng)用于暗網(wǎng)流量檢測(cè)中，對(duì)Tor 流量與非Tor（Non-Tor）流量、VPN 流量與非VPN（Non-VPN）流量進(jìn)行分類，并對(duì)不同網(wǎng)絡(luò)模型的實(shí)驗(yàn)結(jié)果進(jìn)行對(duì)比分析，選擇分類效果最優(yōu)的模型進(jìn)行改進(jìn)，加入GRU 網(wǎng)絡(luò)提取時(shí)序特征，從而提升了大型深層卷積神經(jīng)網(wǎng)絡(luò)模型對(duì)暗網(wǎng)流量分類檢測(cè)的準(zhǔn)確率。

2 卷積神經(jīng)網(wǎng)絡(luò)模型

2.1 Resnet

Resnet 網(wǎng)絡(luò)的全稱是殘差網(wǎng)絡(luò)（Residual Network），由He 等［14］提出。通過引入殘差塊（residual block），Resnet 網(wǎng)絡(luò)解決了網(wǎng)絡(luò)層數(shù)過高后誤差反而增大的問題。其主要思想是在標(biāo)準(zhǔn)的前饋卷積網(wǎng)絡(luò)上加上一個(gè)跳躍層，以繞過一些層的連接［15］。殘差塊結(jié)構(gòu)如圖1 所示。

Fig.1 Structure of residual block圖1 殘差塊結(jié)構(gòu)

Residual block 結(jié)構(gòu)實(shí)現(xiàn)了將輸入信息直接傳到輸出的功能，降低了學(xué)習(xí)難度，解決了增加網(wǎng)絡(luò)深度時(shí)導(dǎo)致的退化問題。Resnet 網(wǎng)絡(luò)根據(jù)殘差塊與網(wǎng)絡(luò)層數(shù)的不同衍生為多種模型，本文使用ResNet-50 網(wǎng)絡(luò)模型進(jìn)行實(shí)驗(yàn)。

2.2 Densenet

Densenet 網(wǎng)絡(luò)由Huang 等［16］提出，通過稠密塊（dense block）結(jié)構(gòu)高效地利用特征（feature），在使用較少參數(shù)的情況下取得了更好效果。在dense block 結(jié)構(gòu)中，每一層的輸入來自前面所有層的輸出。稠密塊結(jié)構(gòu)如圖2 所示。

Fig.2 Structure of dense block圖2 稠密塊結(jié)構(gòu)

該結(jié)構(gòu)能夠減輕梯度消失現(xiàn)象，并加強(qiáng)特征傳遞，使每個(gè)層的特征都能被高效利用，提升了信息與梯度在網(wǎng)絡(luò)中的傳輸效率，減少了參數(shù)數(shù)量［17］。本文選取Densenet-

201 網(wǎng)絡(luò)模型進(jìn)行實(shí)驗(yàn)。

2.3 Xception

Xception 網(wǎng)絡(luò)由Chollet［18］提出，該網(wǎng)絡(luò)是對(duì)Inception網(wǎng)絡(luò)的一種改進(jìn)。Chollet 認(rèn)為，通道之間的相關(guān)性與空間相關(guān)性需要分開處理，因此采用深度可分離卷積（Depthwise Separable Convolution）的思路替換Inception-v3 中的卷積操作。Xception 中的卷積操作分為兩步，先進(jìn)行普通1×1卷積，再對(duì)1×1 卷積結(jié)果的每個(gè)channel 分別進(jìn)行3×3 卷積操作，如圖3 所示。

Fig.3 Convolution operation of Xception圖3 Xception 卷積操作

該操作中3×3的卷積用于學(xué)習(xí)空間相關(guān)性，1×1的卷積用于學(xué)習(xí)通道間的相關(guān)性，最終使Xception 模型收斂速度更快，準(zhǔn)確率更高。

3 實(shí)驗(yàn)與比較分析

3.1 實(shí)驗(yàn)環(huán)境

在進(jìn)行分類實(shí)驗(yàn)時(shí)，設(shè)備配置如下：中央處理器（CPU）為Inter Core i5-6400，4 核，主頻為2.7GHz；內(nèi)存為8GB；圖形處理器（GPU）為NVIDIA GeForce GTX 960M；深度學(xué)習(xí)框架使用TensorFlow，版本為2.1.0；編程語言使用Python，版本為3.7.3。

3.2 實(shí)驗(yàn)數(shù)據(jù)集

本文采用文獻(xiàn)［19］中的CICDarknet2020 數(shù)據(jù)集，該數(shù)據(jù)集覆蓋了多種應(yīng)用中的Tor 與VPN 加密流量，包括瀏覽器、音視頻、聊天及電子郵件等，較為真實(shí)地體現(xiàn)了暗網(wǎng)流量特征。

原始數(shù)據(jù)集中包含少量不可用的數(shù)據(jù)，經(jīng)篩選后共得到Non-Tor 數(shù)據(jù)93 303 條，Non-VPN 數(shù)據(jù)23 861 條，Tor 數(shù)據(jù)1 392 條，VPN 數(shù)據(jù)22 919 條。原數(shù)據(jù)集共有85 維特征，在實(shí)驗(yàn)中刪除了流量序號(hào)、源IP 地址、目的IP 地址、時(shí)間戳及屬性值全部為0的特征后，得到的數(shù)據(jù)含標(biāo)簽在內(nèi)共65維。抽取數(shù)據(jù)集中80%的數(shù)據(jù)作為訓(xùn)練集，剩余20%的數(shù)據(jù)作為測(cè)試集。

3.3 數(shù)據(jù)預(yù)處理

由于數(shù)據(jù)集中不同特征的取值范圍差別很大，為避免影響模型的收斂速度及訓(xùn)練效果，需要對(duì)數(shù)據(jù)進(jìn)行歸一化處理。本文使用MinMaxScaler 函數(shù)對(duì)原始數(shù)據(jù)作線性變換，歸一化到［0，1］區(qū)間，轉(zhuǎn)換函數(shù)如式（1）所示。歸一化后的數(shù)據(jù)可便于后續(xù)轉(zhuǎn)換為圖像數(shù)據(jù)。

本文采用卷積神經(jīng)網(wǎng)絡(luò)的輸入為三維圖像，因此需要對(duì)實(shí)驗(yàn)數(shù)據(jù)進(jìn)行格式調(diào)整，使其能適用于神經(jīng)網(wǎng)絡(luò)訓(xùn)練。將實(shí)驗(yàn)數(shù)據(jù)標(biāo)簽取出后得到64 維的一維數(shù)據(jù)，之后將其轉(zhuǎn)換成8×8的二維數(shù)據(jù)。由于Resnet-50 網(wǎng)絡(luò)與Densenet-201 網(wǎng)絡(luò)的最小長(zhǎng)寬輸入是32×32，Xception 網(wǎng)絡(luò)的最小輸入是72×72，所以將其統(tǒng)一復(fù)制填充為72×72的二維數(shù)據(jù)。最后復(fù)制為3 個(gè)圖層，得到72×72×3的三維圖像數(shù)據(jù)作為3種神經(jīng)網(wǎng)絡(luò)的輸入。

3.4 結(jié)果與分析

在訓(xùn)練參數(shù)設(shè)置中，訓(xùn)練批次大小為200，訓(xùn)練總輪數(shù)為10，驗(yàn)證集比例為20%。優(yōu)化器選擇Adam，該優(yōu)化器具有自動(dòng)調(diào)整學(xué)習(xí)率、內(nèi)存占用較小等優(yōu)點(diǎn)，適用于較大規(guī)模的數(shù)據(jù)處理。

在模型訓(xùn)練中共有Resnet 參數(shù)2 380 萬個(gè)、Densenet 參數(shù)1 852 萬個(gè)、Xception 參數(shù)2 107 萬個(gè)。由于需要訓(xùn)練的參數(shù)過多，訓(xùn)練集數(shù)據(jù)遠(yuǎn)小于參數(shù)數(shù)量，直接進(jìn)行訓(xùn)練難以取得滿意的效果，因此使用上述模型的預(yù)訓(xùn)練參數(shù)，并對(duì)模型頂部作適當(dāng)修改，使其適用于暗網(wǎng)流量分類檢測(cè)。經(jīng)過調(diào)整后，Resnet 需要訓(xùn)練的參數(shù)約為21 萬個(gè)，Xception約為21 萬個(gè)，Densenet 約為20 萬個(gè)，測(cè)試集中每輪用于訓(xùn)練的樣本約為24 萬個(gè)。此時(shí)需要訓(xùn)練的參數(shù)與樣本數(shù)較為接近，能夠避免過擬合現(xiàn)象，有利于模型快速收斂，取得較好的訓(xùn)練效果。

經(jīng)過10 輪訓(xùn)練，得到3 種模型的損失值（loss）比較曲線如圖4 所示，準(zhǔn)確率（accuracy）對(duì)比曲線如圖5 所示（彩圖掃OSID 碼可見）。

Fig.4 Comparison of the loss values of three models圖4 3 種模型損失值比較

Fig.5 Comparison of the accuracy of three models圖5 3 種模型準(zhǔn)確率比較

觀察圖4、圖5 可知，3 種模型的損失值起初呈快速下降趨勢(shì)，之后逐漸趨于平穩(wěn)，準(zhǔn)確率總體呈上升趨勢(shì)，說明模型能夠快速收斂，沒有出現(xiàn)梯度消失等異常現(xiàn)象。Resnet 網(wǎng)絡(luò)與Densenet 網(wǎng)絡(luò)在損失值及準(zhǔn)確率方面的性能類似，最終損失值穩(wěn)定在0.662，準(zhǔn)確率穩(wěn)定在0.736，兩個(gè)模型的性能均優(yōu)于Xception 網(wǎng)絡(luò)。

測(cè)試集評(píng)價(jià)指標(biāo)選取精確率（precision）、召回率（recall）和F1 值。3種模型對(duì)Tor、VPN、Non-Tor 與Non-VPN流量的檢測(cè)性能對(duì)比如表1 所示。

Table 1 Comparison of classification evaluation indicators of three models表1 3種模型分類評(píng)價(jià)指標(biāo)比較

由表1可知，3 種卷積神經(jīng)網(wǎng)絡(luò)對(duì)Tor 與Non-Tor 流量的分類性能均較好，但對(duì)VPN 與Non-VPN 流量的分類效果有待提高。模型在測(cè)試集上的結(jié)果與其在訓(xùn)練集中損失值及準(zhǔn)確率的表現(xiàn)較為一致。其中，Densenet 模型對(duì)4 種流量的分類性能均優(yōu)于其他兩種模型，總體精確率為83.0%，召回率為81.5%。Resnet 模型的分類性能略差，而Xception 模型的分類性能最不理想。

4 改進(jìn)模型與結(jié)果

4.1 基于Densenet 與GRU的暗網(wǎng)流量檢測(cè)模型

由于Densenet 網(wǎng)絡(luò)模型在上述3 種模型中分類效果最佳，因此選擇其作進(jìn)一步改進(jìn)。卷積神經(jīng)網(wǎng)絡(luò)善于提取數(shù)據(jù)空間特征，但忽略了時(shí)序特征。將循環(huán)神經(jīng)網(wǎng)絡(luò)與卷積神經(jīng)網(wǎng)絡(luò)相融合，可同時(shí)學(xué)習(xí)數(shù)據(jù)的時(shí)空特征，從而建立更高效的檢測(cè)模型［20］。

循環(huán)神經(jīng)網(wǎng)絡(luò)選擇GRU 網(wǎng)絡(luò)，該網(wǎng)絡(luò)對(duì)傳統(tǒng)循環(huán)神經(jīng)網(wǎng)絡(luò)的門機(jī)制作出改進(jìn)，引入更新門和重置門替換了傳統(tǒng)網(wǎng)絡(luò)的遺忘門、輸入門及輸出門。兩種網(wǎng)絡(luò)在學(xué)習(xí)效果相當(dāng)時(shí)，GRU 網(wǎng)絡(luò)具有訓(xùn)練參數(shù)少、速度快等優(yōu)勢(shì)［21］。加入GRU 網(wǎng)絡(luò)對(duì)Densenet 網(wǎng)絡(luò)進(jìn)行改進(jìn)，使該模型可全面學(xué)習(xí)暗網(wǎng)流量的空間與時(shí)間特征，提高了分類效果。

4.2 改進(jìn)模型實(shí)驗(yàn)結(jié)果

加入GRU 網(wǎng)絡(luò)后，模型的待訓(xùn)練參數(shù)約為24.15 萬個(gè)，與訓(xùn)練樣本數(shù)量大致相同，能避免訓(xùn)練不充分或過擬合現(xiàn)象。經(jīng)過10 輪迭代，訓(xùn)練集的損失值收斂于0.628，準(zhǔn)確率為80.2%。在測(cè)試集上分類結(jié)果的混淆矩陣如表2 所示。實(shí)驗(yàn)結(jié)果表明，改進(jìn)模型總體具有較高的分類準(zhǔn)確率，其中Tor 與Non-Tor的分類精確率均超過90%，F(xiàn)1 值分別為0.91 和0.89，但VPN 與Non-VPN的分類效果 欠佳，F(xiàn)1 值分別為0.63 和0.65。

Table 2 Confusion matrix of the improved model on the test set表2 改進(jìn)模型在測(cè)試集上的混淆矩陣

改進(jìn)模型與其他模型的性能比較如表3 所示。由于現(xiàn)有研究大多針對(duì)單一類型的加密流量，因此將模型對(duì)應(yīng)的流量加密類型標(biāo)注在模型后。經(jīng)過對(duì)比，改進(jìn)模型的分類評(píng)價(jià)指標(biāo)均高于Densenet 原始模型，精確率提高了0.4%，召回率提高了0.7%。相比其他模型，改進(jìn)模型的分類任務(wù)更加復(fù)雜，導(dǎo)致精確率略低于SVM，但召回率仍優(yōu)于其他模型，總體分類性能較好［13］。

Table 3 Performance comparison of improved model and other models表3 改進(jìn)模型與其他模型性能比較 單位：%

5 結(jié)語

暗網(wǎng)流量檢測(cè)研究對(duì)于預(yù)防與發(fā)現(xiàn)網(wǎng)絡(luò)攻擊具有重要意義。本文選取3 種典型的大型深層卷積神經(jīng)網(wǎng)絡(luò)Resnet、Densenet 與Xception 模型，對(duì)較為真實(shí)的暗網(wǎng)流量數(shù)據(jù)集進(jìn)行分類對(duì)比。實(shí)驗(yàn)結(jié)果表明，Resnet 與Densenet更適合對(duì)暗網(wǎng)流量進(jìn)行分類檢測(cè)。之后選擇分類效果最好的Densenet 進(jìn)行改進(jìn)，加入GRU 網(wǎng)絡(luò)學(xué)習(xí)時(shí)序特征后，改進(jìn)模型的分類性能進(jìn)一步提高。改進(jìn)模型總體精確率與召回率分別為83.4%和82.2%，其中Tor 與Non-Tor的分類精確率均超過90%，但VPN 與Non-VPN的分類效果仍具有提升空間。