Network traffic classification has been widely studied to fundamentally advance network measurement and management. Machine Learning is one of the effective approaches for network traffic classification. Specifically, Deep Learning (DL) has attracted much attention from the researchers due to its effectiveness even in encrypted network traffic without compromising neither user privacy nor network security. However, most of the existing models are created from closed-world datasets, thus they can only classify those existing classes previously sampled and labeled. In this case, unknown classes cannot be correctly classified. To tackle this issue, an autonomous learning framework is proposed to effectively update DL-based traffic classification models during active operations. The core of the proposed framework consists of a DL-based classifier, a self-learned discriminator, and an autonomous self-labeling model. The discriminator and self-labeling process can generate new dataset during active operations to support classifier update. Evaluation of the proposed framework is performed on an open dataset, i.e., ISCX VPN-nonVPN, and independently collected data packets. The results demonstrate that the proposed autonomous learning framework can filter packets from unknown classes and provide accurate labels. Thus, corresponding DL-based classification models can be updated successfully with the autonomously generated dataset.
Maintaining IoT Device Identification under Concept Drift via Budget-Aware Traffic Labeling
School of Electrical Engineering and Telecommunications, University of New South Wales（新南威尔士大学电气工程与电信学院）；School of Computer Science and Engineering, University of New South Wales（新南威尔士大学计算机科学与工程学院）；KDDI Research（KDDI研究所）
我们如何保护网络基础设施免受恶意流量（如扫描、恶意代码传播和分布式拒绝服务（DDoS）攻击）的侵害？一种阻止恶意流量的机制是过滤：访问控制列表（Access Control List，简称ACL）可以根据IP报头的字段选择性地阻止流量。过滤器（Filter，缩写为REQ）已经存在于今天的路由器中，但由于它们存储在昂贵的三进制内容可寻址存储器（TCAM）中，因此是一种稀缺资源。在本文中，我们开发，第一次，一个框架，研究过滤器选择作为一个资源分配问题。在这个框架内，我们研究了五个实际情况下的源地址/前缀过滤，这对应于不同的攻击场景和运营商的政策。我们表明，过滤器选择优化导致新的变化的多维背包问题，我们设计最佳的，但计算效率高，算法来解决这些问题。我们还使用来自Dshield.org的数据评估了我们的方法，并证明它在实践中带来了显着的好处。我们的算法集是一个构建块，可以立即被运营商和制造商使用，以经济高效的方式阻止恶意流量。
Online Supervised Learning for Traffic Load Prediction in Framed-ALOHA Networks
预测成帧ALOHA网络中的当前积压或业务负载使得能够优化资源分配，例如，帧的大小。然而，由于缺乏关于冲突基数的信息以及可能复杂的分组生成统计信息，使得这种预测变得困难。假设没有关于流量模型的先验信息，除了其时间记忆上的界限之外，本文开发了一种基于递归神经网络（RNN）并且具体地基于长短期记忆（LSTM）架构的基于在线学习的自适应流量负载预测方法。为了在没有关于碰撞的确切基数的反馈的情况下实现在线训练，所提出的策略利用了一种新的近似标记技术，该技术受到矩量法（Method of Moments，简称MEMO）估计器的启发。数值结果表明，所提出的在线预测大大优于传统的方法，能够适应不断变化的交通统计。
Tutorial on Flow-Based Network Traffic Classification Using Machine Learning
Budapest University of Technology and Economics（布达佩斯技术与经济大学）；CUJO LLC（CUJO有限责任公司）；Faculty of Information Technology, Czech Technical University in Prague（布拉格捷克理工大学信息技术学院）
The Closed Resolver Project: Measuring the Deployment of Source Address Validation of Inbound Traffic
源地址验证（SAV）是一种标准，旨在丢弃具有欺骗源IP地址的数据包。传出流量缺乏SAV被认为是分布式拒绝服务（DDoS）攻击的根本原因，并受到广泛关注。虽然不太明显，但缺乏入站过滤使攻击者能够作为网络的内部主机出现，并可能泄露有关网络基础设施的有价值信息。VoIP欺骗可能会放大其他攻击媒介，例如DNS缓存中毒或最近发现的NXNSAttack。在本文中，我们提出了封闭的解析器项目，旨在减轻入站IP欺骗的问题的初步结果。我们进行了第一次互联网范围内的主动测量研究，枚举网络过滤器或不过滤传入的数据包，他们的源地址，为IPv4和IPv6地址空间。为了实现这一目标，我们识别了接受来自其网络外部的欺骗请求的封闭和开放DNS解析器。所提出的方法提供了最完整的图片入站SAV部署的网络提供商。我们的测量覆盖了超过55%的IPv4和27%的IPv6自治系统（AS），并显示其中绝大多数都完全或部分容易受到入站欺骗。通过识别双栈DNS解析器，我们还表明，入站过滤是不经常部署为IPv6比IPv4。总的来说，我们发现了13.9 K IPv6开放解析器，可用于放大DDoS攻击-比以前的工作多13倍。此外，我们还发现了4.25 M IPv4和103 K IPv6易受攻击的封闭解析器，这些解析器只能通过我们的欺骗技术检测到，并且在与NXNSAttack结合使用时会构成重大威胁。
PACC: Protocol-Aware Cross-Layer Compression for Compact Network Traffic Representation
University of Electronic Science and Technology of China（电子科技大学）；University of Hong Kong（香港大学）；Renmin University of China（中国人民大学）；Hong Kong Polytechnic University（香港理工大学）
ReGAIN: Retrieval-Grounded AI Framework for Network Traffic Analysis
Computer Science（计算机科学）；North Carolina A\&T State University（北卡罗来纳A&T州立大学）；Institute for Cyber Security（网络安全研究所）；University of Texas at San Antonio（德克萨斯大学圣安东尼奥分校）
