郭宇斌，李 航，丁建伟

（中国电子科技集团公司第三十研究所，四川 成都 610041）

0 引言

加密流量主要是指在通信过程中所传送的被加密过的实际明文内容[1]。在安全和隐私保护需求的驱动下，网络通信加密化已经成为不可阻挡的趋势。加密网络流量呈现爆炸增长，安全超文本传输协议（Hyper Text Transfer Protocol over Secure，HTTPS）几乎已经基本普及。但是，加密流量也给互联网安全带来了巨大威胁，尤其是加密技术被用于网络违法犯罪，如网络攻击、传播违法违规信息等。因此，对加密流量进行识别与检测是网络恶意行为检测中的关键技术，对维护网络空间安全具有重要意义。

随着流量加密与混淆的手段不断升级，加密流量分类与识别的技术逐步演进，主要分为基于端口、基于有效载荷和基于流的方法。

基于端口的分类方法通过假设大多数应用程序使用默认的传输控制协议（Transmission Control Protocol，TCP）或用户数据报协议（User Datagram Protocol，UDP）端口号来推断服务或应用程序的类型。然而，端口伪装、端口随机和隧道技术等方法使该方法很快失效。基于有效载荷的方法，即深度包解析（Deep Packet Inspection，DPI）技术，需要匹配数据包内容，无法处理加密流量。基于流的方法通常依赖于统计特征或时间序列特征，并采用机器学习算法，如支持向量机、决策树、随机森林等算法进行建模与识别[2-5]。此外，高斯混合模型[6]等统计模型也被用于识别和分类加密流量。

虽然机器学习方法可以解决许多基于端口和有效载荷的方法无法解决的问题，但仍然存在一些局限：（1）无法自动提取和选择特征，需要依赖领域专家的经验，导致将机器学习应用于加密流量分类时存在很大的不确定性；……