암호화 공격 트래픽 분석을 위한 딥러닝 모델의 성능 비교 연구
A Comparative Study on the Performance of a Deep Learning Model for Encryption Attack Traffic Analysis
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
암호화 트래픽 환경에서는 페이로드 접근이 불가해 길이·간격·핸드셰이크 등 메타데이터만으로 이상 행위를 식별해야 하며, 실제 망에서는 심한 불균형과 분포 이동이 상시 발생한다.메타데이터만으론 시그니처 탐지가 무력화되고 표현력이 제한되어 정밀도–재현율 불균형, 정확도 착시, 고정 임계값의 드리프트 취약, 지연 제약 시 실사용 곤란이 발생한다.이에 학습 분할에서 3단계 피처 셀렉션(상관 프루닝, MI 상위 50%, 임베디드 95%)과 업/다운샘플링·균등 잡음·구조적 변형·MixUp, 1 대 9 ~ 9 대 1 스윕, 검증 기반 F1 임계값(θ*) 고정을 적용해, 앙상블·딥러닝을 F1/평균 지연으로 비교했다.결과적으로 앙상블 평균 F1=0.9835로 딥러닝 0.9201 대비 +6.89% 우수했고, XGBoost·LightGBM은 LSTM 대비 97.8%·96.7% 더 빨라 실시간 운용에 유리한 성능을 보인다.
Abstract
In encrypted traffic environments, payloads are inaccessible, so abnormal behaviors must be identified solely from metadata such as packet lengths, inter-arrival times, and handshake features, while real networks exhibit persistent severe class imbalance and distribution shifts. Relying only on metadata renders signature/rule-based detection ineffective and limits representational power, leading to precision–recall imbalance, accuracy illusion, vulnerability of fixed thresholds to drift, and practical difficulties under latency constraints. To address this, we apply—on the training split only—a three-stage feature selection (correlation pruning, top-50% mutual information, embedded importance up to 95% cumulative), together with up/down-sampling, uniform noise injection, intra-class structural perturbation, and MixUp; we perform a 1:9–9:1 ratio sweep and fix a validation-based F1 threshold (θ*) for testing, comparing ensemble and deep learning models by F1 and mean inference latency. Consequently, the ensemble group achieved a mean F1 of 0.9835, a +6.89% relative improvement over deep learning (0.9201), and XGBoost/LightGBM were 97.8%/96.7% faster than LSTM, indicating superior suitability for real-time operation.