다크웹 범죄 서비스 분류를 위한 머신러닝 기반 애플리케이션 계층 네트워크 핑거프린팅 연구
Machine Learning-based Application-Layer Network Fingerprinting for Dark Web Criminal Service Classification
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
다크웹의 익명성을 악용한 마약 및 해킹 범죄가 급증함에 따라, 이를 신속하게 탐지할 수 있는자동화된 기술이 필요하다. 기존의 방식인 HTML 기반 정적 콘텐츠 분석은 콘텐츠 은폐 및 동적변화에 취약하고, 전송 계층(L3/4) 트래픽 분석은 패킷 크기, 전송률 등 네트워크 전송 특성에 국한되어 웹사이트의 구조 및 콘텐츠 특성을 반영하지 못하는 한계가 존재한다. 본 논문에서는 이러한 한계를 극복하기 위해 L3/4 메트릭뿐만 아니라, 애플리케이션 계층(L7) 메트릭을 추가로 수집하고, 머신러닝 기반으로 학습하여 다크웹 범죄 사이트의 서비스 유형 분류에 효과적인 메트릭을 분석한다. 이를 위해 마약 및 해킹 관련 약 12,847개의 다크웹 사이트를 수집하여, 사이트 접속 시 발생하는 L3/4 및 L7의 46개 네트워크 메트릭을 추출하여 데이터셋을 구축하였다. 또한, XGBoost, Random Forest, Logistic Regression, SVM과 같은 머신러닝 알고리즘을 각 계층별 메트릭을 학습하는 단일 모델과 두 계층의 메트릭을 통합 학습한 하이브리드 모델로 개발한 결과, L7 메트릭만 학습한 XGBoost 모델이 마약 범죄 사이트 유형 분류에서 F1-score 0.996, 해킹 범죄 사이트 유형 분류에서 F1-score 0.933을 기록하며 가장 높은 성능을 보이는 것을 확인하였다.
Abstract
As drug and hacking crimes exploiting the anonymity of the Dark Web have rapidly increased, automated technologies capable of detecting them quickly are needed. Previous approaches such as HTML-based static content analysis are vulnerable to content concealment and dynamic changes, and transport layer (L3/4) traffic analysis is limited to network transmission characteristics such as packet size and transmission rate, failing to reflect the structural and content characteristics of websites. To overcome these limitations, this paper collects not only L3/4 metrics but also application layer (L7) metrics, and analyzes effective metrics for classifying service types of Dark Web crime sites through machine learning-based learning. To this end, approximately 12,847 Dark Web sites related to drugs and hacking were collected, and a dataset was constructed by extracting 46 network metrics of L3/4 and L7 generated during site access. Furthermore, machine learning algorithms such as XGBoost, Random Forest, Logistic Regression, and SVM were developed as single models learning metrics of each layer and hybrid models integrating metrics of both layers. As a result, the XGBoost model trained only on L7 metrics recorded the highest performance with F1-scores of 0.996 for drug crime site type classification and 0.933 for hacking crime site type classification.