Deep Representation Learning for Encrypted Traffic Classification Using Temporal and Graph-Based Network Modeling

국문 초록 (Abstract)

전송 계층 보안（Transport Layer Security, TLS） 1.3 및 QUIC（Quick UDP Internet Connections）과 같은 암호화 프로토콜의 확산으로 인해 암호화된 네트워크 트래픽의 비중이 크게 증가하였으며, 이에 따라 기존의 페이로드 기반 트래픽 분석 기법은 점차 적용이 어려워지고 있다. 이러한 변화는 네트워크 모니터링, 트래픽 관리 및 사이버 보안 분야에서 암호화 트래픽 분류를 중요한 연구 과제로 부각시키고 있다. 기존의 딥러닝 기반 암호화 트래픽 분류 기법들은 주로 패킷의 시간적 특성 또는 통신 구조적 관계 중 하나에 집중하여 모델링함으로써 암호화 트래픽이 가지는 복합적인 특성을 충분히 반영하지 못하는 한계를 가진다.
이러한 한계를 해결하기 위해 본 논문에서는 시간적 정보와 구조적 정보를 동시에 학습할 수 있는 하이브리드 딥러닝 프레임워크인 Graph-Mamba를 제안한다. 제안된 프레임워크는 패킷 수준의 트래픽 특징으로부터 장기적인 시간적 의존성을 학습하기 위한 Mamba 기반 시퀀스 인코더와 네트워크 엔티티 간의 통신 관계를 모델링하기 위한 Graph Attention Network v2（GATv2） 기반 그래프 인코더로 구성된다. 또한, 두 인코더가 생성한 시간적 표현과 구조적 표현을 효과적으로 결합하기 위해 어텐션 기반 융합（attention-based fusion） 메커니즘을 적용하여 통합된 트래픽 표현을 생성한다. 이와 함께 플로우 수준의 통계적 특징을 추가적으로 활용하여 전반적인 트래픽 행위 정보를 반영하도록 하였다.
제안한 프레임워크의 성능을 검증하기 위해 ISCX-VPN2016, USTC-TFC2016 및 CipherSpectrum의 세 가지 공개 벤치마크 데이터셋을 사용하여 실험을 수행하였다. 실험 결과, Graph-Mamba는 다양한 암호화 트래픽 환경에서 우수하고 안정적인 분류 성능을 보였다. 또한 비교 실험을 통해 패킷의 시간적 특성과 통신 토폴로지 정보를 함께 모델링하는 것이 단일 관점의 모델링 방식보다 더 구별력 있는 트래픽 표현을 생성함을 확인하였다. 더불어, 광범위한 소거 실험을（ablation study） 통해 시퀀스 인코더, 그래프 인코더, 융합 메커니즘 및 학습 설정이 전체 성능 향상에 기여함을 검증하였다.
제안된 Graph-Mamba는 패킷 헤더와 통신 메타데이터만을 활용하므로 사용자 프라이버시를 보장할 수 있으며, 페이로드 분석이 불가능하거나 제한되는 현대의 암호화 네트워크 환경에서도 적용 가능하다. 본 논문의 연구 결과는 시간적 시퀀스 모델링과 그래프 기반 구조 학습의 결합이 암호화 트래픽 분류를 위한 효과적이고 확장 가능한 접근 방식임을 보여준다.

목차 (Table of Contents)

• 1 Introduction 1
• 2 Related Work and Background 4
• 2.1 Traditional Traffic Classification Methods 4
• 2.2 Deep Learning for Encrypted Traffic Analysis 5
• 2.3 Sequence Modeling with Mamba-based Architectures 6
• 2.4 Graph Neural Networks for Traffic Representation 7
• 2.5 Research Gap and Motivation 8
• 3 Proposed Methodology 10
• 3.1 Overview of the Proposed Framework 10
• 3.2 Traffic Preprocessing and Feature Extraction 11
• 3.3 Sequence Encoder for Temporal Flow Modeling 17
• 3.4 Graph Encoder for Communication Context Modeling 18
• 3.5 Fusion of Temporal and Structural Representations 20
• 3.6 Classification and Training Objective 21
• 4 Experimental Evaluation 24
• 4.1 Experimental Setup 24
• 4.2 Baseline models 26
• 4.3 Comparison 28
• 4.4 Ablation Studies 34
• 4.4.1 Impact of Model Components 35
• 4.4.2 Impact of Batch Size 36
• 4.4.3 Impact of Fusion Strategy 37
• 4.4.4 Impact of Loss Function 38
• 4.4.5 Impact of Protocol Diversity 39
• 5 Conclusion 41
• References 43