Where Do Flow Semantics Reside? A Protocol-Native Tabular Pretraining Paradigm for Encrypted Traffic Classification

1. بيان المشكلة

تصنيف حركة المرور المشفرة (ETC) أمر بالغ الأهمية لأمن الشبكات، ومع ذلك فإن فحص الحمولة التقليدي غير فعال بسبب التشفير (الذي يغطي أكثر من 95% من حركة مرور الويب). اعتمدت الأساليب الحديثة على النمذجة المقنعة ذاتية الإشراف (المستوحاة من BERT وVision Transformers)، حيث تعامل حزم الشبكة كمتسلسلات بايتات خام وتعيد بناء البايتات المقنعة.

ومع ذلك، حدد المؤلفون فشلاً حرجاً في هذه الأساليب: محدودية القابلية للنقل (Transferability). ففي ظل تقييم "المُشفر المجمد" (حيث يكون المُشفر المدرب مسبقاً ثابتاً ويتم تدريب رأس مصنف فقط)، تنخفض الدقة بشكل حاد (على سبيل المثال، من >90% في الضبط الدقيق الكامل إلى <47%). يشير هذا إلى أن التدريب المسبق لا يتعلم تمثيلات قابلة للنقل، بل يعتمد بشدة على الضبط الدقيق الخاضع للإشراف.

السبب الجذري: عدم التطابق في الانحياز الاستقرائي (Inductive Bias Mismatch)
يجادل البحث بأن معاملة حركة المرور كمتسلسلة بايتات أحادية البعد يدمر الدلالات المحددة بالبروتوكول (Protocol-defined semantics) المتأصلة. حدد المؤلفون ثلاث مشكلات محددة ناتجة عن هذا عدم التطابق (الموضحة في الشكل 1):

1. عدم القدرة على التنبؤ على مستوى الحقل (P1): تعامل نماذج البايتات جميع البايتات كأهداف قابلة للتعلم. ومع ذلك، فإن حقول البروتوكول مثل ip.id أو checksum مصممة لتكون عشوائية أو غير متوقعة. إن إجبار النموذج على إعادة بناء هذه الحقول يخلق تدرجات ضوضائية تفسد تعلم الحقول ذات المعنى.
2. ارتباك التضمين عبر الحقول (P2): تستخدم نماذج مستوى البايت دالة تضمين مشتركة واحدة لجميع البايتات. هذا يؤدي إلى انهيار الحقول المتميزة دلالياً (مثل Total Length مقابل Window Size) في فضاء متجه واحد، مما يسبب "تصادم القيم" حيث تتلقى القيم المتطابقة من حقول مختلفة تضمينات متطابقة رغم اختلاف معانيها.
3. فقدان البيانات الوصفية لمستوى التدفق (P3): تتجاهل أساليب مستوى البايت البيانات الوصفية لوقت الالتقاط (مثل أوقات الوصول بين الحزم، frame.time_delta) وهي ضرورية لتحليل سلوكيات مستوى التدفق مثل أنماط الاندفاع (burst patterns) وزمن الاستجابة، حيث توجد هذه البيانات خارج بايتات الحزمة.

2. المنهجية: FlowSem-MAE

يقترح المؤلفون FlowSem-MAE (المشفر التلقائي المقنع لتدفق الدلالات)، وهو نموذج تدريب مسبق جدولي أصيل للبروتوكول. بدلاً من تسطيح حركة المرور إلى بايتات، يعامل النموذج تدفقات حركة المرور كـ بيانات جدولية حيث تمثل الصفوف الحزم والأعمدة هي حقول البروتوكول.

المكونات الرئيسية:

1. وحدات دلالات التدفق (FSUs):

   • يتم تحليل حركة المرور إلى حقول مهيكلة (رؤوس) وبيانات وصفية (طوابع زمنية) بدلاً من البايتات الخام.
   • أخذ العينات: يتم استخراج أول 10 حزم من التدفق لالتقاط أنماط المصافحة والإنهاء.
   • التطبيع (Normalization): يتم تطبيق تطبيع خاص بالنوع للحفاظ على المعنى الدلالي للحقول غير المتجانسة.

2. تصفية التنبؤ (لمعالجة P1):

   • تُصنف وحدات FSUs إلى: قابلة للتعميم (أنماط قابلة للتعلم)، عشوائية (التحقق من التشفير/النزاهة مثل ip.id)، وغير قابلة للتعميم (خاصة بمجموعة البيانات مثل عناوين IP).
   • الاستراتيجية: يتم استبعاد الحقول العشوائية وغير القابلة للتعميم من مجموعة أهداف إعادة البناء أثناء التدريب المسبق. يتعلم النموذج فقط إعادة بناء الحقول المستقرة والمحددة بالبروتوكول، مما يلغي ضجيج التدرج.

3. تضمينات خاصة بكل وحدة FSU (لمعالجة P2):

   • بدلاً من مصفوفة تضمين مشتركة، تمتلك كل نوع من أنواع FSU (مثل TTL أو Flags) دالة تضمين مستقلة خاصة بها ($E_k$).
   • الحفاظ على المتشعب (Manifold Preservation): يضمن هذا أن الحقول المتميزة دلالياً تشغل فضاءات فرعية منفصلة في فضاء التضمين، مما يمنع "التشابك" الذي تسببه أساليب التضمين المشتركة.

4. بنية المحول ثنائي المحور (لمعالجة P3):

   • يستخدم النموذج آلية الانتباه ثنائي المحور (Dual-Axis Attention) لالتقاط الهيكل ثنائي الأبعاد لحركة المرور (الزمن $\times$ الحقول):
     • انتباه محور الزمن: ينمذج التبعيات عبر الحزم (التطور الزمني لحقل معين).
     • انتباه محور FSU: ينمذج العلاقات بين الحقول المختلفة داخل حزمة واحدة.
   • تدمج هذه البنية البيانات الوصفية الزمنية (مثل frame.time_delta) صراحةً في تمثيل التدفق.

5. هدف التدريب:

   • التدريب المسبق: مهمة مشفر تلقائي مقنع لإعادة بناء وحدات FSUs القابلة للتعميم باستخدام متوسط مربع الخطأ (MSE).
   • الضبط الدقيق: يتم تجميد المُشفر، ويتم تدريب مصنف MLP خفيف الوزن فقط على تمثيلات التدفق الناتجة.

3. المساهمات الرئيسية

1. تحليل الانحياز الاستقرائي: ينسب البحث بشكل أساسي ضعف القابلية للنقل في أساليب تصنيف حركة المرور الحالية إلى عدم التطابق بين نمذجة تسلسل البايتات والطبيعة الجدولية لدلالات البروتوكول.
2. نموذج أصيل للبروتوكول: يقدم إطار عمل جديد يعامل حركة المرور كبيانات جدولية، ويدمج مواصفات البروتوكول كأولويات معمارية بدلاً من تعلمها من البيانات الخام.
   ως تنفيذ FlowSem-MAE: مشفر تلقائي مقنع مبتكر يتميز بتصفية القدرة على التنبؤ، وتضمينات خاصة بالحقول، وانتباه ثنائي المحور.
3. كفاءة فائقة: يثبت أن المواءمة مع هيكل البيانات أكثر فعالية من مجرد زيادة حجم النموذج.

4. النتائج التجريبية

تم تقييم النموذج على ISCX-VPN (16 فئة تطبيقات) و CSTNET-TLS 1.3 (120 فئة موقع إلكتروني) باستخدام بروتوكول المُشفر المجمد الصارم.

• الأداء: يتفوق FlowSem-MAE بشكل كبير على النماذج المرجعية الحديثة (بما في ذلك ET-BERT و TrafficFormer و NetMamba).
  • ISCX-VPN: دقة 51.1% / F1-ماكرو 42.7% (مقابل 39.2% دقة لـ TrafficFormer، وهو الأفضل التالي).
  • TLS-1.20: دقة 55.2% / F1-ماكرو 51.3% (مقابل 46.3% دقة لـ TrafficFormer).
• كفاءة الملصقات (Labels): باستخدام 50% فقط من البيانات الموسومة، يتفوق FlowSem-MAE على معظم الأساليب الحالية المدربة على 100% من البيانات الموسومة.
• كفاءة النموذج: يحقق FlowSem-MAE أفضل أداء مع 50.25 مليون معلمة فقط، بينما يتطلب منافسوه مثل netFound حوالي 2.85 مليار معلمة لتحقيق أداء أقل.
• القابلية للنقل: على عكس النماذج المرجعية التي تنهار تحت التقييم المجمد، يحافظ FlowSem-MAE على أداء عالٍ في كل من إعدادات التجميد والضبط الدقيق الكامل، مما يثبت أنه يتعلم تمثيلات قابلة للنقل حقاً.

5. الأهمية والآثار المترتبة

• تحول في النموذج (Paradigm Shift): يتحدى البحث الافتراض السائد بـ "البايتات كرموز" (bytes-as-tokens) في تحليل حركة مرور الشبكة، مجادلاً بأن الدلالات تكمن في هياكل البروتوكول، وليس في تسلسلات البايتات.
• المواءمة الهيكلية > الحجم: يثبت أنه بالنسبة للبيانات المهيكلة مثل حركة مرور الشبكة، فإن مواءمة الانحياز الاستقرائي للنموذج مع النمط الجوهري للبيانات (جدولي/بروتوكولي) يعطي نتائج أفضل من التوسع بالقوة الغاشمة للنماذج.
• الأثر العملي: يقلل هذا النهج بشكل كبير من الحاجة إلى البيانات الموسومة، مما يجعل تصنيف حركة المرور المشفرة أكثر جدوى في السيناريوهات الواقعية حيث تكون البيانات الموسومة نادرة.
• القابلية للتفسير: يسمح نهج FSU بتحليل واضح لأهمية الميزات، مما يكشف أن التطبيقات المختلفة تعتمد على تواقيع بروتوكول مختلفة (مثل اتجاه التدفق لتطبيقات VPN مقابل أعلام محددة للمواقع الإلكترونية).

في الختام، يضع FlowSem-MAE أساساً جديداً لتصنيف حركة المرور المشفرة من خلال احترام الطبيعة الجدولية والبروتوكولية المتأصلة لبيانات الشبكة، مما يحل أزمة القابلية للنقل التي عانت منها الأساليب السابقة ذاتية الإشراف.