Identifikace aplikací v síťovém provozu

Abstract

Cílem této práce je úspěšně zúžit výslednou množinu kandidátních aplikací při použití metod pro klasifikaci TLS spojení za účelem identifikace aplikací. Za tímto účelem jsou vytěženy frekventované vzory obsahující otisky okolních spojení, které jsou využity k určení nejpravděpodobnější aplikace. Práce těží frekventované vzory pomocí algoritmu Apriori, jako vstupní data jsou použity otisky JA3/JA4 a jejich kombinace. Podařilo se dosáhnout téměř totožné úspěšnosti jako při použití samotných otisků, ale s výrazně zúženou kandidátní množinou a přijatelnou časovou náročností. Výsledky této práce umožňují efektivnější klasifikaci šifrovaného provozu generovaného aplikacemi.

The goal of this thesis is to successfully reduce the resulting set of candidate applications when using methods for TLS connection classification for the purpose of application identification. To achieve this, frequent patterns containing fingerprints of surrounding connections are extracted and used to determine the most probable application. The work mines frequent patterns using the Apriori algorithm; JA3/JA4 fingerprints and their combinations are used as input data. It was possible to achieve nearly the same accuracy as when using the fingerprints alone, but with a significantly reduced candidate set and acceptable computational cost. The results of this work enable more effective classification of encrypted traffic generated by applications.