融合协议信息的TOR匿名网络流量识别方法
网络安全与数据治理
杨刚1，姜舟1，张娇婷1，汪俊永1，王强2,3，张研1
1 三六零数字安全科技集团有限公司，北京100020；2 中国科学院信息工程研究所, 北京100093； 3 中国科学院大学 网络空间安全学院, 北京100049
摘要： TOR（The Onion Router）匿名网络流量识别是一项重要的加密流量检测任务，随着TOR混淆模式的迭代更新，引入OBFS4(ObjectBased File System4)混淆协议后对TOR的检测较为困难。详细研究了TOR行为和混淆协议特性，将关键行为特征与OBFS4混淆协议特征进行融合，增强了面向混淆协议的TOR流量的检出能力。另外构造了包含浏览网页、视频直播、聊天等多业务数据集进行实验。结果显示，该研究方法在基于OBFS4混淆协议的TOR流量检测任务上效果显著，其中lightGBM模型检测效果最佳，在融合协议特征的方法下准确率达到9889%。同时该方法面向不同版本的TOR流量开展复测，在不同版本的TOR流量检测任务中准确率均高于97%。
中圖分類號：TP393.06文獻標識碼：ADOI:10.19358/j.issn.2097-1788.2023.12.007
引用格式：楊剛，姜舟，張嬌婷，等.融合協(xié)議信息的TOR匿名網(wǎng)絡流量識別方法［J］.網(wǎng)絡安全與數(shù)據(jù)治理，2023，42（12）：41-47.
引用格式：楊剛，姜舟，張嬌婷，等.融合協(xié)議信息的TOR匿名網(wǎng)絡流量識別方法［J］.網(wǎng)絡安全與數(shù)據(jù)治理，2023，42（12）：41-47.
TOR anonymity network traffic recognition method integrating protocol information fusion
Yang Gang1，Jiang Zhou1，Zhang Jiaoting1，Wang Junyong1，Wang Qiang2,3，Zhang Yan1
1 360 Digital Security Technology Group Co., Ltd., Beijing 100020, China;2 Institute of Information Engineering, CAS, Beijing 100093, China;3 School of Cyber Security, University of Chinese Academy of Sciences, Beijing 100049, China
Abstract： Traffic analysis in the TOR（The Onion Router） anonymous network has become a challenging task. With the iterative updates of TOR′s obfuscation techniques, the introduction of the OBFS4 obfuscation protocol has made it increasingly difficult to detect TOR traffic. This paper provided a detailed study of TOR′s behavioral features, incorporating features of the OBFS4(ObjectBased File System4) obfuscation protocol algorithm to enhance the capability of detecting obfuscated traffic. In addition, this paper constructed a dataset covering various tunnel types, including web browsing, video streaming, and chat, to conduct experiments.The results show that the proposed method has significant effect on TOR traffic detection tasks based on the OBFS4 obfuscation protocol. The use of the lightGBM model has achieved the best detection performance, with an accuracy of 9889% when combining protocol features. Our approach was tested on various versions of TOR traffic, and the accuracy in detecting different versions of TOR traffic exceeded 97% in all cases.
Key words : TOR; obfuscation protocol features; behavioral features；lightGBM
引言
隨著信息安全和個人隱私保護越來越受到人們的關注，在網(wǎng)絡服務中，保護網(wǎng)絡用戶的隱私成為研究人員關注的重點。因此業(yè)界設計了許多匿名通信技術。TOR網(wǎng)絡是目前最廣泛使用的匿名網(wǎng)絡之一，其主要功能在于保護用戶的網(wǎng)絡隱私并增強互聯(lián)網(wǎng)訪問安全性。TOR的電路由三個中繼服務器組成，分別是入口中繼服務器用于客戶端通信，轉發(fā)中繼服務器用于加密與轉發(fā)，出口中繼服務器用于與目的地通信。同時TOR采用標簽交換設計，允許在同一個TOR路由器上復用多個電路，以確保每個電路都能獲得合理的帶寬分配。然而，在TOR上應用程序流量的分布在所有電路上是不均勻的，為此Tang等人［1］提出了一種電路調度優(yōu)先級方案，使交互電路在批量傳輸電路之前進行優(yōu)化。隨著TOR網(wǎng)絡的迭代，其產(chǎn)生的流量的隱匿性變得更強，TOR流量變化更大，其中2021年發(fā)布的v3版本中，TOR流量變化更加顯著，導致以往TOR的流量識別方法逐漸失效。
作者信息
楊剛1，姜舟1，張嬌婷1，汪俊永1，王強2,3，張研1
（1 三六零數(shù)字安全科技集團有限公司，北京100020；2 中國科學院信息工程研究所, 北京100093；
3 中國科學院大學 網(wǎng)絡空間安全學院, 北京100049）
文章下載地址：http://ihrv.cn/resource/share/2000005875
此內容為AET網(wǎng)站原創(chuàng)，未經(jīng)授權禁止轉載。