Classificazione del traffico di applicazioni mobili

Transcript

1 Scuola Politecnica e delle Scienze di Base Corso di Laurea in Ingegneria Informatica Elaborato finale in Reti di Calcolatori Classificazione del traffico di applicazioni mobili Anno Accademico 2017/2018 Candidato: Mario Mauriello matr. N

2 [Dedica]

3 Indice Introduzione... 4 Capitolo 1: La classificazione del traffico di rete Classificazione basata sul numero di porta Classificazione basata sull ispezione dei pacchetti Classificazione basata su Machine Learning... 9 Capitolo 2: Identificazione del traffico di app mobili Cascade Forest Approach Adaptive Learning Method Multi-Classification Approach AppClassifier Conclusioni Bibliografia Ringraziamenti... 32

4 Introduzione L'importanza della classificazione del traffico di rete è cresciuta nell'ultimo decennio. Insieme ai progressi avuti nel software, sono state introdotte nuove metodologie in tale ambito grazie al crescente interesse da parte dei ricercatori. L identificazione del traffico di rete è di fondamentale importanza in molte attività delle reti di calcolatori, come per il monitoraggio della sicurezza, per la gestione della QoS (Qualità del servizio), per fornire la possibilità agli operatori di prevedere con maggior precisione le richieste di traffico a lungo termine e per individuare eventuali comportamenti anomali nella propria infrastruttura. Il seguente elaborato è strutturato come segue: Nel Capitolo 1 viene introdotta la tematica della classificazione del traffico di rete e vengono analizzate le principali metodologie, mettendo in evidenza le limitazioni di quelle tradizionalmente utilizzate e descrivendo quelle che sono le nuove tecniche basate su Machine Learning; Nel Capitolo 2 si affronta la classificazione del traffico generato da applicazioni mobili, descrivendo i nuovi approcci sviluppati negli ultimi anni. In relazione agli approcci analizzati nel secondo capitolo di questo elaborato, riguardanti nuovi algoritmi e classificatori di traffico di app mobili, si è utilizzato il motore di ricerca Google Scholar per individuare nuovi articoli accademici che trattassero tale tematica. 4

5 Google Scholar (Sito web: è un motore di ricerca liberamente accessibile sviluppato da Google che consente, mediante keywords (parole chiave), di ricercare testi e articoli della letteratura accademica. Esso offre un modo semplificato per cercare attraverso molte discipline e fonti (e.g. articoli, tesi, libri, abstract, archivi online, ecc.). Google Scholar permette, inoltre, individuando un determinato articolo, di ricercare articoli correlati ad esso o di visionare tutti gli articoli di altri autori che citano quello specifico articolo [14]. Per la ricerca degli articoli di questo elaborato si è scelto di utilizzare le seguenti keywords: (i) traffic classification (ii) mobile traffic classification (iii) mobile traffic classifier (iv) mobile traffic identification (v) encrypted traffic classification. Il criterio con cui sono state scelte tali keywords e con cui sono stati selezionati gli articoli si basa sull obbiettivo di soffermarsi sugli approcci alla classificazione del traffico mobile a partire dal 2017 in poi e che tentano di superare, mediante tecniche di Machine Learning, i limiti imposti principalmente dalla diffusione del traffico cifrato nelle app mobili. Inoltre, è stata sfruttata anche la ricerca attraverso citazioni ovvero, a partire da un determinato articolo attinente alla tematica, sono stati individuati ulteriori articoli di altri autori che spesso lo citavano o per un confronto o per aggiunta di informazioni e dettagli. In particolar modo, in questo elaborato sono presentati in totale quattro approcci alla classificazione del traffico mobile, ovvero Adaptive Mobile Traffic Classification (AMTC), Cascade Forest Mobile Traffic Classification (CFMTC), Multi- Classification System (MCS) e AppClassifier (AC). Essi sono stati selezionati, tra i vari articoli, in quanto ognuno tratta la descrizione di un particolare sistema a componenti che, a partire da tracce di traffico grezze, dopo varie fasi successive di raffinamento consente di ottenere la corretta decisione riguardo l identificazione dell app mobile generatrice di tale traffico. 5

6 Capitolo 1: La classificazione del traffico di rete Per classificazione del traffico di rete si intende quel processo attraverso cui si associa ad una sequenza di pacchetti scambiati tra due host (e quindi tra le due rispettive porte di trasporto) la rispettiva applicazione che l ha generata [2]. Ciò riveste un ruolo fondamentale in moltissimi ambiti nel contesto delle reti di calcolatori moderne, tra cui per esempio la possibilità di migliorare la QoS (Quality of Service) da parte di un ISP (Internet Service Provider) e, quindi, gestire in maniera più efficiente le risorse della sua infrastruttura, nonché per incrementare il livello di sicurezza e di affidabilità [1][2]. Per questo motivo, l ISP ha necessità di conoscere le caratteristiche dei flussi di traffico che transitano nella sua rete, come: durata dei flussi, volume del traffico trasportato da ognuno di essi e la velocità di trasmissione. Tale analisi è denominata flow analysis (analisi del flusso) e permette all ISP una gestione più efficiente delle risorse e di misurare in modo semplice il livello di traffico complessivo dei suoi links. L identificazione del traffico di rete è differente dall analisi dei flussi, infatti, mentre la prima ha lo scopo di determinare l applicazione generatrice del traffico, la seconda ha come obiettivo quello di analizzare e misurare alcune caratteristiche complessive del traffico [2]. Un importante problema che un ISP deve affrontare è proprio quello di conoscere la tipologia di applicazioni generatrici di traffico in rete utilizzate dai suoi utenti finali. Questa analisi consente all ISP, tenendo conto delle caratteristiche delle specifiche applicazioni e dei relativi requisiti di qualità, di gestire quanto meglio è possibile tali flussi scambiati in rete [1]. 6

7 In linea generale l analisi del traffico di rete avviene mediante l osservazione dei pacchetti IP che determinano il flusso di dati [2]. Un flusso di traffico non è altro che una sequenza di pacchetti IP costituiti tutti dagli stessi indirizzi IP sorgente e IP destinazione (nella Figura 1 i campi Source Address e Destionation Address ), dagli stessi numeri di porta sorgente e destinazione (nella Figura 1 i campi Source Port e Destionation Port ), nonché dallo stesso protocollo di trasporto utilizzato [2]. Questi cinque campi prendono comunemente il nome di quintupla e permettono di identificare il flusso a cui appartiene un determinato pacchetto IP. Con la definizione precedentemente data, un flusso di traffico è monodirezionale e pertanto, per poter analizzare al meglio il comportamento di una applicazione clientserver, sarà necessario analizzare in modo congiunto i flussi monodirezionali che trasportano il traffico dell applicazione nella due direzioni (da client a server e da server a client) [2]. Figura 1: Pacchetto TCP/IPv4 e relative porte di Trasporto [2] 7

8 Diversi sono i metodi per la classificazione del traffico proposti nella letteratura accademica e utilizzati nella pratica. Analizziamone quindi i principali e quelli che sono tradizionalmente utilizzati, mettendo in evidenzia le eventuali problematiche legate alla loro applicazione pratica e le possibili soluzioni proposte negli ultimi anni. 1.1 Classificazione basata sul numero di porta L identificazione dell applicazione generatrice di un flusso di traffico è tradizionalmente effettuata osservando i pacchetti appartenenti al flusso stesso e individuandone le porte a livello di trasporto (Port based classification) [2]. Essa è la metodologia più semplice ed efficace, dal momento che comporta un basso overhead grazie alla sola analisi della Destination Port nell header del pacchetto (TCP o UDP che sia) con cui è possibile individuare l applicazione che sta generando il traffico [2]. Questo metodo, ad oggi, è obsoleto e praticamente non più applicabile in quanto le applicazioni moderne, non avendo talvolta porte registrate presso lo IANA, selezionano dinamicamente le porte da utilizzare e spesso utilizzano porte generiche (applicazioni come HTTP usano la porta 80, così come Skype) [1][2]. Per questo motivo, la semplice analisi del numero di porta non permette di avere un identificazione affidabile dell applicazione generatrice del traffico. 1.2 Classificazione basata sull ispezione dei pacchetti La classificazione del traffico basata sull ispezione dei pacchetti (Packet Inspection) è un altra metodologia tradizionalmente usata e pensata per superare i limiti del metodo port-based. La packet inspection, come suggerisce il termine stesso, consiste nell ispezionare bit a bit il contenuto e alcune caratteristiche dei pacchetti in modo da estrarre informazioni protocollari a livello applicativo e quindi di determinare l applicazione che sta generando il traffico [2]. Più precisamente, l approccio più comunemente usato è il pattern matching, che consiste nel confrontare il contenuto del pacchetto con un insieme di firme memorizzate grazie ad alcuni tools [1]. Potenzialmente tale tecnica risulta davvero efficace ed affidabile, ma nella pratica 8

9 occorre considerare alcune problematiche legate alla sua applicazione. In primo luogo, una problematica riguarda la privacy e i dati sensibili degli utenti, con conseguente impossibilità di accesso o memorizzazione del payload del pacchetto [2]. Un altra questione è relativa a problemi di scalabilità dovuti alla necessità di una analisi protocollare di tipo stateful, ossia memorizzare e aggiornare lo stato corrente del protocollo applicativo ipotizzato per ogni flusso di traffico analizzato [2]. Nella pratica il più grande ostacolo che la packet inspection deve affrontare riguarda il sempre maggior numero di applicazioni che fa utilizzo di payload cifrati, con la conseguente impossibilità di una corretta osservazione e analisi del contenuto del pacchetto [2]. 1.3 Classificazione basata su Machine Learning A causa della crescente diffusione di traffico cifrato, molti ricercatori si sono spinti ad individuare ulteriori tecniche che consentano di oltrepassare i limiti indotti dalla classificazione port-based e packet inspection-based. L approccio che sembra essere più promettente [1] fa utilizzo di tecniche basate su machine learning (ML). Dal punto di vista dell Intelligenza Artificiale (IA), tali sistemi di ML si basano sull apprendimento automatico a partire da dati empirici e consentono di costruire una regola per classificare correttamente determinati oggetti [1]. Nel caso della classificazione del traffico di rete, gli oggetti da classificare sono proprio i flussi di traffico Internet mentre le classi sono le applicazioni a cui tali flussi si riferiscono [1]. In linea generale le tecniche di ML si basano su due tipologie di apprendimento [2]: 1) apprendimento supervisionato, che utilizza un insieme di oggetti pre-classificati per consentire al sistema di costruire una serie di regole di classificazione per oggetti futuri. È denominata supervisionata in quanto l algoritmo di identificazione del traffico è già addestrato con dataset preconfezionati. In questo modo, dato come oggetto in input un flusso di traffico, l algoritmo fornisce in output una delle possibili classi (applicazioni) relative ad esso e che sono state 9

10 definite nel set di esempi iniziali. 2) apprendimento non supervisionato, in cui il sistema autonomamente identifica e distingue le classi in modo da attribuire la giusta classificazione agli oggetti. Tali metodi, detti anche di clustering, non hanno bisogno di un insieme di esempi pre-classificati in quanto è il metodo stesso che prova a raggruppare in modo naturale i dati in gruppi (detti appunto cluster) in base a delle caratteristiche comuni. L approccio non supervisionato consente di ottenere un buon livello di accuratezza nella classificazione ma, in generale, inferiore a quello supervisionato. Essi risultano, però, essere meno onerosi in termini computazionali nella fase di addestramento. Le metodologie non supervisionate risultano essere più promettenti in vista dei continui cambiamenti del traffico Internet, ma nella pratica vengono usate generalmente tecniche supervisionate [2]. Vi sono, però, alcune problematiche legate al loro utilizzo [3]: se da un lato i classificatori di ML richiedono dataset molto grandi e con un gran numero di caratteristiche/attributi per consentire una classificazione più accurata dell applicazione generatrice del traffico, dall altro le loro performance in termini di velocità possono essere così ridotte. Un altro importante problema è che un singolo classificatore potrebbe non essere adatto per i fini di un gran numero di applicazioni, e per questo motivo le performance di un algoritmo di ML risulta essere dipendente dall applicazione [3]. Nel contesto delle reti di calcolatori è di fondamentale importanza non solo l accuratezza della classificazione, ma anche l efficienza in termini computazionali dell intero processo. La maggior parte dei ricercatori, dunque, ha concentrato la loro attenzione sul miglioramento dell accuratezza del processo utilizzando uno specifico classificatore. Scegliere, tuttavia, un classificatore adatto allo sviluppo di un sistema di identificazione del traffico tra un gran numero di potenziali candidati è piuttosto complesso e per questo motivo è essenziale una adeguata valutazione e confronto fra le varie metodologie proposte nella letteratura [13]. 10

11 Capitolo 2: Identificazione del traffico di app mobili Il massiccio utilizzo di smartphone nella vita di tutti i giorni sta crescendo esponenzialmente e sta cambiando rapidamente la tipologia di traffico che attraversa le abitazioni, le reti aziendali e più in generale Internet [4]. Da alcune ultime ricerche è emerso che, nel 2018, il 52.2% del traffico di siti web è generato da smartphone, fino al 50% in più rispetto agli anni precedenti [7]. Inoltre, il traffico da dispositivi mobili ha superato quello generato dai dispositivi desktop tradizionali (Desktop, Notebooks, ecc.) [7]. Ciò è dovuto anche alle innumerevoli app disponibili per piattaforme mobili: più di 2.8 milioni di app Android e 2.2 milioni di app per ios [8]. Per classificazione del traffico mobile si intende quel processo attraverso cui si associa tracce di traffico mobile alla relativa applicazione che lo sta generando [4]. Con il rapido sviluppo delle reti mobili, essa sta diventando un area di ricerca sempre più importante e la possibilità di classificare il traffico di rete mobile ha significanti implicazioni in molti ambiti: per l incremento della QoS da parte degli operatori in relazione alle necessità dell utenza, per il monitoraggio della sicurezza, per la rilevazione di comportamenti anomali e per migliorare il cosiddetto traffic shaping ovvero l'insieme di operazioni di controllo sul traffico dati finalizzate ad ottimizzare o a garantire determinate prestazioni di trasmissione, ridurre o controllare i tempi di latenza e sfruttare al meglio la banda disponibile [5][6]. 11

12 La classificazione del traffico mobile deve però far fronte ad alcune importanti problematiche, alcune delle quali già trattate nel Capitolo 1 dal punto di vista generale. Metodi tradizionali come il port-based trovano difficile applicazione a causa del crescente numero di app mobili che fanno utilizzo di porte generiche (e.g. porta 80/8080), mentre approcci payload inspection-based non sono utilizzabili, come già detto, con flussi di traffico cifrato [9]. Per questo motivo sono state individuate nuove tecniche basate su Machine Learning. Si è vesto che gli algoritmi basati su ML già esistenti spesso incontrano problemi nel classificare applicazioni a partire da tracce di rete causati dall eccessivo numero di parametri richiesti per le reti neurali, per la debole correlazione tra attributi nel metodo Naive Bayes e per problemi di over-fitting negli Alberi di Decisione, ecc. [9] La ricerca ha incentrato, perciò, la propria attenzione sullo sviluppo di nuovi approcci che consentissero di superare suddetti limiti e che permettessero di ottenere un identificazione corretta dell app generatrice di traffico dalle buone prestazioni e soprattutto con una buona accuratezza. 2.1 Cascade Forest Approach Yang Liu et al. [9] hanno proposto un sistema di classificazione strutturale denominato Cascade Forest Approach, finalizzato alla classificazione del traffico mobile. È basato su un algoritmo di deep-learning chiamato, appunto, Cascade Forest : un albero decisionale che stima la distribuzione delle classi tra le istanze di input. La struttura del classificatore può essere costruita dinamicamente nel processo di addestramento ed è applicabile sia a flussi connection-oriented (come tracce TCP), che a flussi connection-less (come tracce UDP), così come applicabile sia con tracce di traffico mobile cifrate, che con tracce non cifrate [9]. Per classificare un flusso di traffico, il Cascade Forest Mobile Traffic Classification 12

13 (CFMTC) prima estrae features indipendenti dal payload (e.g. lunghezza del pacchetto, durata del flusso, deviazione standard del tempo di arrivo/ritorno di un pacchetto, ecc.) e in seguito utilizza un classificatore supervisionato per assegnare la corretta classe (applicazione) a tale flusso [9]. Il processing delle tracce di traffico si suddivide in tre fasi: 1) Fase di pre-processing; 2) Fase di training (addestramento); 3) Fase di classificazione. La fase di pre-processing è la prima fase del CFMTC ed è finalizzata a generare i dataset per le fasi seguenti. Inizialmente (cfr. Figura 2), il filtro seleziona le tracce di traffico mobile a seconda del protocollo (TCP o UDP). In seguito, il feature extractor procede ad estrarre un certo numero di features statistiche (cfr. Figura 2.1) da ognuno dei flussi filtrati e produce come output due set di features per le fasi seguenti: una per la fase di addestramento e l altra per la fase di classificazione vera e propria [9]. Le features estratte e selezionate vengono classificate in base alla loro correlazione e alla loro utilità ai fini dell identificazione dell app. Se una determinata feature è utile per la classificazione del traffico allora viene aggiunta al dataset, altrimenti viene ignorata. In questo modo gli autori hanno ottenuto un subset con gli attributi rilevanti grazie a numerosi esperimenti e test, il tutto per ottenere una classificazione sempre migliore [9]. Figura 2: Architettura CFMTC [9] 13

14 Figura 2.1: Set delle features e relativo subset [9] Nella fase di training invece vi è il Learning Module che, utilizzando come input i dati provenienti dal pre-processing, costruisce e produce in output un modello che consentirà alla fase di classificazione di individuare l app generatrice del traffico [9]. Infine, nella fase di classificazione, grazie ai dati ottenuti dal pre-processing e al modello costruito nella fase di training, il classifier produce come risultato l'identificazione dell applicazione [9]. Gli autori hanno quindi testato l efficacia di CFMTC a partire da tracce reali di traffico mobile generato da alcune app di frequente utilizzo e ne hanno confrontato accuracy, precision, recall e F-measure dell algoritmo di base (Cascade Forest) rispetto ad altri quattro algoritmi di machine learning (Random Forest, C4.5, Bayes Net, SVM). Per poter definire le metriche appena citate, utili per analizzare l efficacia e le performance di molti sistemi di classificazione, occorre introdurre tre set differenti di flussi di traffico [9]: - True Positive (TP): il set costituito dai flussi classificati dal sistema come appartenenti ad una determinata applicazione e che realmente sono stati generati da essa; - False Positive (FP): il set costituito dai flussi classificati dal sistema come appartenenti ad una determinata applicazione ma che, in realtà, non sono stati generati da essa; 14

15 - False Negative (FN): costituito dai flussi classificati dal sistema come non generati da una determinata applicazione ma che, in realtà, sono stati generati da essa. Definiti tali set, è possibile delineare le tre metriche sopra citate per la valutazione della qualità del sistema: - Precision e recall sono due comuni classificazioni statistiche nel dominio dell information retrieval (recupero delle informazioni). Consentono di misurare la bontà del sistema nel recuperare i documenti rilevanti richiesti dall utente [10]. Tali due metriche vengono definite, nell ambito della classificazione, come [9]: recall = '( '()*+ precision = '( '()*( - La F-Measure è invece una misura dell accuratezza di un test e tiene conto di precision e recall [9][11]: precision recall F Measure = 2 precision + recall I test sono stati effettuati sia sull intero set di feature che sul subset di features ritenuto rilevante per la classificazione. Si è visto che, per quanto riguarda l accuratezza (cfr. Figura 2.2), il Cascade Forest ha ottenuto il miglior risultato (dell 87.57%) quando viene considerato l intero set, e un valore ancora più alto sul subset di features rispetto agli altri algoritmi. Figura 2.2: Confronto dell accuracy tra Cascade Forest e altri algoritmi di ML [9] 15

16 Per quanto attiene precision e recall (cfr. Figura 2.3), gli autori hanno mostrato che CF e RF riescono ad ottenere i migliori risultati quando testati sull intero set di attributi (rispettivamente 87.65% e 87.20% per la precision, e 87.46% e 87.00% per il recall), con CF che riesce ad ottenere valori ancora più alti quando testato con il subset rilevante per la classificazione (precision con 88.89%, e recall con 88.60%). Infine, anche per la F-Measure si è osservato che CF ottiene il miglior risultato rispetto agli altri algoritmi quando testato sul subset, come mostrato dal grafico di Figura 2.4. Figura 2.3: Confronto di precision e recall tra Cascade Forest e altri algoritmi di ML [9] Figura 2.4: Confronto della F-measure tra Cascade Forest e altri algoritmi di ML [9] 16

17 Gli autori affermano, dunque, che CFMTC riesce a classificare in modo accurato ed efficace tracce di traffico mobile ma allo stesso tempo fanno alcune considerazioni sulla scalabilità del loro approccio: CFMTC è applicabile fino ad N applicazioni ma, chiaramente, più N aumenta più l accuratezza diminuisce. In tal caso gli autori indicano che dovrebbero essere prese in considerazione misure più efficaci per evitare di ottenere scarse prestazioni nella classificazione delle app a partire da tracce di traffico mobile [9]. 2.2 Adaptive Learning Method Zhen Liu et al. [6] hanno proposto un metodo per la classificazione del traffico mobile basato sull Adaptive Learning (AMTC, Adaptive Mobile Traffic Classification). L obiettivo principale del loro approccio è affrontare il cosiddetto problema del concept drift dei flussi di dati. Infatti, generalmente il problema della classificazione del traffico mobile può essere caratterizzato nel seguente modo: i pacchetti IP con la stessa quintupla {Indirizzo IP sorgente, Indirizzo IP destinazione, Numero di Porta sorgente, Numero di Porta destinazione} sono raggruppati in flussi, ognuno dei quali rappresentato da determinate features utili per costruire dei campioni di flussi ai fini del training del modello di classificazione [6]. Le distribuzioni dei valori delle features appartenenti ad ogni flusso possono, tuttavia, variare per via della natura non stazionaria dell ambiente della rete Internet, delle abitudini di ogni utente e delle versioni delle app. In un contesto così dinamico si ha che le distribuzioni dei dati possono cambiare nel corso del tempo, ottenendo per l appunto il fenomeno del concept drift [6]. La conseguenza principale che si ottiene in una tale circostanza è che il modello di classificazione statico costruito prima di un concept drift non è in grado di prendere decisioni corrette in situazioni future di classificazione dei dati [6]. 17

18 Per questo motivo, per gestire tale problema e migliorare le prestazioni del classificatore, gli autori indicano che il modello di classificazione necessita di essere aggiornato ogni qual volta varia la distribuzione dei dati (in questo contesto, ogni qual volta varia la distribuzione delle features dei flussi), evidenziando che la chiave principale è rilevare il concept drift. In tal modo il modello viene aggiornato solo quando necessario, risparmiando così sulle risorse di elaborazione utilizzate [6]. Gli autori fanno anche notare come il traffico di dati mobili è affetto da situazioni ibride di concept drift (come il gradual drift e il recurring drift). Ad esempio, se si considera una app mobile specifica come Facebook, essa potrebbe essere usata in modo differente a seconda dell utente: alcuni utenti potrebbero solo navigare nell app, altri invece potrebbero postare immagini e video periodicamente [6]. Proprio per questo motivo Facebook è un esempio di app il cui traffico possiede una natura estremamente dinamica per via delle differenti tipologie di utenti che la utilizzano. Il concept drift, [6] generalmente viene rilevato quando l errore di previsione (nel nostro contesto nella classificazione del traffico) incrementa in maniera significativa. Inoltre, poiché la rilevazione del concept drift si basa sull arrivo delle labels vere (ossia le tracce correttamente identificate), queste ultime potrebbero arrivare con dei ritardi e il concept drift potrebbe essere rilevato tardivamente con conseguenti implicazioni sulle performance del modello di classificazione [6]. Gli autori hanno, quindi, proposto un nuovo metodo adattivo per la classificazione del traffico mobile (AMTC), in un ambiente di rete dinamico e in continua evoluzione. In linea generale, AMTC riesce a rilevare situazioni di concept drift e aggiorna il modello di classificazione quando una tale circostanza si manifesta [6]. 18

19 Il framework principale di AMTC è mostrato in Figura 2.5. Innanzitutto, dato un training set iniziale, il sistema addestra un primo modello di classificazione iniziale e lo memorizza in un pool, temporaneamente utilizzato per effettuare previsioni sulla classificazione dei flussi di traffico [6]. In seguito, vengono eseguiti iterativamente i seguenti processi [6]: 1) quando il prossimo chunk ( pezzo ) di dati è pronto per l analisi, AMTC rileva eventuali situazioni di concept drift in base alla distanza della distribuzione dei dati tra il chunk di dati attuale e l ultimo chunk nel del training set; 2) Se un drift è stato rilevato, allora: a) Per gestire un gradual drift, il sistema costruisce un nuovo training set NS costituito da nuovi campioni di flusso etichettati correttamente e dai campioni S iniziali ri-elaborati in base ai loro pesi originari. In seguito, aggiorna i pesi dei campioni di flusso nel nuovo training set grazie ad uno specifico algoritmo; b) Per gestire un recurring drift, il sistema selezione i modelli di classificazione dal pool di modelli in base ad un certo livello di equivalenza. La previsione di un nuovo campione è attenuta mediante i valori ponderati dei pesi dei modelli selezionati. Figura 2.5: Il framework di AMTC [6] 19

20 Gli autori hanno quindi effettuato numerosi esperimenti e test per valutare l efficacia di AMTC, utilizzando diverse metriche di valutazione tra cui Flow error rate, Byte error rate, Flow F-measure, Byte F-measure, Flow g-mean 1, Byte g-mean. I test sono stati effettuati confrontando AMTC con altri quattro algoritmi, ossia FCM-DD, KME, EDDM, CFDT, J48, e testando varie applicazioni di frequente utilizzo [6]. Per esempio, il grafico in Figura 2.6 mostra la differenza tra gli error rate (flow e byte) ottenuti dai differenti algoritmi, mentre quello di Figura 2.7 confronta la flow F-measure per tre applicazioni mobili. Figura 2.6: Confronto Flow/Byte error rate [6] Figura 2.7: Confronto Flow F-Measure per (a) QQ (b) WeChat (c) Facebook [6] 1 Flow (o Byte) g-mean è una metrica generalmente utilizzata per misurare le performance di classificazione in situazioni di class imbalance [6]. Il class imbalance è un problema relativo ai dati molto comune nel ML, dovuto a distribuzioni delle classi altamente squilibrate [12]. 20

21 Gli autori evidenziano come questi (ed altri) risultati ottenuti siano a favore di AMTC. Le performance risultano, infatti, essere superiori rispetto agli altri algoritmi grazie alla rilevazione del drift (con il minor delay) e al particolare metodo di aggiornamento del modello di classificazione [6]. Infine, si nota come AMTC è quindi adattabile con traffico generato da applicazioni mobili anche caratterizzato da una certa dinamicità. Gli autori hanno pianificato, in futuri lavori, di migliorare ulteriormente le performance di AMTC in termini del byte error rate provando a gestire il problema del class imbalance [6]. 2.3 Multi-Classification Approach G. Aceto et al. [4] hanno proposto un approccio di multi-classificazione denominato Multi-Classification System (MCS) con l obiettivo di migliorare le performance nella classificazione delle app a partire da tracce di traffico mobile. La caratteristica principale del loro approccio sta nel combinare in maniera intelligente più classificatori allo stato dell arte, selezionando i migliori approcci in questo contesto e espressamente concepiti per la classificazione del traffico mobile criptato [4]. In Figura 2.8 viene mostrata l architettura del MCS. Le tracce di traffico mobile raccolte entrano in input ad un primo blocco di pre-processing, in cui vengono estratti i service bursts 1 (SBs) grazie al blocco di SB Exctraction. Il blocco di pre-processing consiste in alcune operazioni preliminari, come ad esempio la rimozione di pacchetti zero-payload (e.g. ACK TCP senza payload) che, così come evidenziato dagli autori, consente di avere un miglioramento delle performance. Il blocco successivo è chiamato FS k Exctraction e possiede il compito di estrarre da ogni SB il feature set (FS) per il k-esimo classificatore del pool [4]. 1 Un burst è una sequenza di pacchetti avente un tempo medio di arrivo inferiore ad una data soglia (detta Burst Threshold). Dunque, un SB è un insieme di pacchetti, all interno di un singolo burst, appartenenti a biflussi aventi medesimo protocollo, inidirizzo IP destinazione e numero di porto [4]. 21

22 Figura 2.8: Architettura del Multi-Classification System (MCS) [4] Per ogni SB, sono considerate tre serie di pacchetti: 1) solo pacchetti in entrata; 2) solo pacchetti in uscita; 3) traffico bidirezionale (sia pacchetti in entrata che in uscita). I classificatori allo stato dell arte che gli autori hanno selezionato e che costituiscono la base del MCS sono mostrati nella tabella di Figura 2.9. In particolare, il k-esimo Classifier del pool di classificatori riceve in input la corrispondente k-esima FS ottenuta dal relativo blocco di estrazione e fornisce come output una decisione hard/soft, la quale a sua volta è data in input al blocco Hard/Soft Combiner [4]. Quest ultimo ha il compito di combinare più decisioni prese da differenti classificatori in un unica decisione, ossia la classificazione finale fornita dal sistema. Figura 2.9: Tecniche allo stato dell arte selezionate come classificatori di base [4] 22

23 Sono stati quindi eseguiti diversi esperimenti da parte degli autori sul MCS, valutandone efficacia e performance nell identificazione delle app mobili. Nel dettaglio, le metriche considerate per valutare le performance del sistema sono: 1) overall accuracy, 2) precision, 3) recall, 4) F-measure. Dopo numerosi test gli autori hanno determinato il miglior classifier di base, e i migliori hard e soft combiners. Di ognuno di essi in Figura 2.10 ne viene mostrata la matrice di confusione, ottenuta testando divere app mobili di frequente utilizzo. Gli autori mettono, dunque, in evidenzia con i risultati ottenuti, un guadagno nelle performance di MCS fino al 9.5% in più rispetto ai classificatori di base e tali miglioramenti si osservano in generale su diverse app testate. Grazie alla modularità di MCS si fa notare come esso è virtualmente adattabile ad altri classificatori per un ulteriore accrescimento delle prestazioni [6]. Figura 2.10: Matrici di confusione del miglior (a) classificatore di base (b) hard combiner (c) soft combiner [4] 23

24 2.4 AppClassifier Chong Xiang et al. [7] hanno presentato AppClassifier, un nuovo approccio per l identificazione delle app mobili in tempo reale a partire dalle tracce di traffico. AppClassifier è stato studiato a partire da due osservazioni: (i) innanzitutto, il traffico proveniente da app differenti tende ad avere altrettante diverse distribuzioni sui metadati (e.g. dimensione dei pacchetti), con conseguenti features statistiche diversificate; (ii) inoltre, ogni app è differente e tende ad avere fini diversi nell utilizzo dei servizi online con conseguenti differenti comportamenti sequenziali all interno della app da parte di varie tipologie di utenti (e.g. alcuni utenti potrebbero usare una determinata funzionalità di una app, piuttosto che un altra). L architettura del sistema proposto è costituita da quattro componenti diversi, come mostrato in Figura 2.11: traffic pre-processing, statistical features generating, sequential behabior modeling e real-time traffic re-correcting. Descriviamo ogni componente più nel dettaglio [7]: - Traffic Pre-processing: in questa fase, al fine di condurre a delle inferenze (ossia per ottenere la corretta identificazione dell app), le tracce raw ( grezze ) di traffico vengono filtrate e vengono eliminati tutti i pacchetti di errore di rete (e.g. Pacchetti TCP ritrasmessi) e tutti i pacchetti inutili che non portano alcuna informazione sull app (e.g. ACKs). In questo modo il traffico grezzo viene suddiviso in bursts e flussi, dove i primi sono un insieme di pacchetti che soddisfa la condizione per cui il pacchetto più recente arriva entro un certo tempo soglia, mentre i secondi sono un sottoinsieme di un burst i cui pacchetti condividono stesso indirizzo IP destinazione e stessi numeri di porta. - Statistical Feature Generation: dal momento che differenti app tendono a produrre pacchetti con differenti dimensioni, in questa fase vengono estratte un certo numero di features statistiche sulla distribuzione del traffico, le quali vengono fornite ad un algoritmo di ML per la classificazione affinché sia presa 24

25 la decisione finale. Gli autori hanno utilizzato il Random Forest (RF) come algoritmo, dal momento che è stato visto come più performante per classificazioni multi-class rispetto ad altri algoritmi sulla base di alcune ricerche esistenti [7]. - Sequential Behavior Modeling: come mostrato dagli autori [7], app con features statistiche simili possono avere differenze sostanziali nell utilizzo pratico a livello di funzionalità/comportamenti sequenziali. Questo, chiaramente, porta a problemi nel momento in cui si prova ad effettuare delle inferenze a partire dalle statistiche ottenute: è complesso determinare quale app ha generato quel traffico. Per questo motivo, per modellare temporalmente una sequenza di comportamenti all interno di una app, sono state utilizzate il formalismo delle Catene di Markov (CdM) omogenee del primo ordine. In questo modo, sia X : il t-esimo stato di una sequenza di traffico e associata ad ogni X : una matrice con le probabilità di ogni singola app, si ottengono N differenti matrici di transizione dopo la fase di training (dove N è il numero delle app nel training set). A questo punto nella fase di testing è possibile eseguire inferenze sulle app. Dato un flusso di traffico non ancora etichettato con l app che lo ha generato, vengono calcolate le probabilità di occorrenza di tale flusso utilizzando le N differenti matrici di transizione. In tal modo si ottengono N valori di probabilità e verrà scelto il valore più altro per etichettare correttamente il flusso con la corrispondente app che lo ha generato [7]. Figura 2.11: Panoramica dell architettura di AppClassifier [7]. 25

26 - Real-Time App Inference: quest ultima fase del sistema AppClassifier, che consiste nell identificazione vera e propria dell app generatrice del flusso di traffico, deve far fronte ad un considerevole problema. In un contesto pratico, non ideale, il classificatore del traffico di rete deve riuscire a determinare l applicazione generatrice anche con elevati background noises (rumori di sottofondo) [7]. Nella maggior parte dei casi pratici, in un sistema operativo mobile (e.g. Android), tali rumori vengono causati da app in background generatrici di traffico al di fuori dell applicazione che l utente sta eseguendo. Anche, nel caso in cui vi sia una sola app in esecuzione, lo stesso framework dell O.S. può generare traffico che può interferire con la real-time app inference, con la possibile conseguenza di ottenere un identificazione non corretta. Per questo motivo gli autori hanno ideato una componente di recorrecting prima di ottenere la predizione finale (chiamata Real-Time Traffic Re-correcting) [7]. Definite le componenti del sistema, gli autori sono passati alla fase di valutazione delle performance di AppClassifier. I test sono stati eseguiti prima in un ambiente ideale, in cui non è presente alcun rumore di sottofondo, e in seguito in un ambiente reale (con traffico generato da altre app non desiderato) in cui si mostra l efficacia della ri-correzione (cfr. Figura 2.13 (a)) [7]. Per valutare le prestazioni della ricorrezione, viene calcolato l error rate di ogni classificazione dell app ottenuta in ogni secondo: nella tabella di Figura 2.12 ne viene mostrato l error rate con e senza ri-correzione. Figura 2.12: Error rate di classificazione a tempo reale con e senza re-correcting [7]. 26

27 Come evidenziato dagli autori, per capire al meglio come il re-correcting funziona, è possibile osservare i grafici di Figura 2.13 (b) e (c). I risultati di classificazione del sistema senza re-correcting risultano essere leggermente imprecisi a causa del rumore, in confronto alla versione con re-correcting dove viene mostrata l efficacia di quest ultima componente [7]. Figura 2.13: Risultati degli esperimenti con AppClassifier [7]. 27

28 Conclusioni In questo elaborato si è presentato dapprima la tematica della classificazione del traffico di rete, per poi concentrarsi sulla classificazione delle applicazioni mobili a partire da tracce di traffico. Come è stato mostrato quest ultimo argomento riveste un ruolo sempre più rilevante e discusso negli ultimi anni, dal momento che influenza numerosissimi ambiti nel contesto delle reti di calcolatori. Ad oggi gli smartphone stanno diventando sempre più i generatori dominanti di traffico di rete e, per questo motivo, gli approcci e le metodologie per la classificazione hanno guadagnato sempre più interesse per il network management (e.g. miglioramento della QoS, traffic shaping, monitoraggio della sicurezza, ecc.) ma anche per il targeted advertisment (pubblicità mirata) [7][9]. Nel corso dell elaborato sono stati analizzati alcuni dei nuovi approcci finalizzati all identificazione del traffico di applicazioni mobili sviluppati a partire dal 2017, ossia Adaptive Mobile Traffic Classification (AMTC), Cascade Forest Mobile Traffic Classification (CFMTC), Multi-Classification System (MCS) e AppClassifier (AC). Ognuno di essi è basato principalmente su tecniche e algoritmi di Machine Learning per tentare di superare le limitazioni intrinseche dei metodi tradizionali (e.g. port based, payload-inspection based). Nonostante l utilizzo di metriche comuni (e.g. Error rate, Precision and Recall, F- Measure, Accuracy, ecc.) utilizzate dai diversi autori per testare la bontà del proprio sistema rispetto ad altri, non è possibile confrontarli direttamente sulla base dei 28

29 risultati ottenuti, in quanto le modalità con cui sono stati svolti i test e gli esperimenti risultano essere piuttosto differenti. L esempio più rilevante è l impiego di dataset di tracce completamente diversi, a causa delle differenti app e sistemi operativi su cui i classificatori sono stati testati. Tuttavia, è possibile evidenziare come ognuno di tale approccio permetta di affrontare una particolare problematica. AMTC, ad esempio, grazie al sistema di rilevazione del concept drift, persegue l obiettivo di migliorare la classificazione anche in un contesto di traffico mobile caratterizzato da una forte dinamicità. D altra parte, AC tenta di concentrarsi su un sistema che consenta di modellare i differenti comportamenti sequenziali che si possono avere nell utilizzo di un app. Invece, CFMTC vuole migliorare l accuratezza e l efficacia dell algoritmo di classificazione grazie alla selezione di un subset di features rilevanti che ne ottimizzi le prestazioni. In ultimo, MCS possiede la peculiarità di utilizzare più classificatori all interno del proprio sistema, i cui risultati vengono combinati in un unica decisione finale. Dunque, è sempre maggiore l esigenza di individuare tecniche e metodologie che consentano di ottenere una classificazione ancora più accurata. L interesse dei ricercatori nei prossimi anni sarà, senza dubbio, lo studio di sistemi evoluti in grado di ottenere performance ed efficacia sempre maggiori, anche in vista della crescente dinamicità del traffico mobile in Internet. Si riserva, quindi, a lavoro futuro un accurata analisi di nuovi approcci sempre più all avanguardia basati su nuovi algoritmi e tecniche di ML, approfondendo ulteriormente lo studio del relativo framework e dei relativi componenti. 29

30 Bibliografia [1] A. Dainotti, A. Pescapé, K.C. Claffy, Issues and feature directions in Traffic Classification, IEEE Network, vol. 26, no. 1, pp , [2] P. Giacomazzi, Analisi e Identificazione del traffico Internet, Mondo Digitale, n. 10, pp , [3] P. Singh, M & Srivastava, Gargi & Kumar, Prabhat, Internet Traffic Classification Using Machine Learning, International Journal of Database Theory and Application, vol. 9, pp , [4] G. Aceto, D. Ciuonzo, A. Montieri, A. Pescapé, Multi-Classification Approaches for Classifying Mobile App Traffic, Journal of Network and Computer Applications, [5] Traffic Shaping : ITU-T I.371 : Traffic control and congestion control in B- ISDN, Par [6] Zhen Liu, Nathalie Japkowicz, Ruoyu Wang & Deyu Tang, Adaptive learning on mobile network traffic data, Connection Science, [7] Chong Xiang, Qingrong Chen, Minhui Xue, and Haojin Zhu, AppClassifier: Automated App Inference on Encrypted Traffic via Meta Data Analysis, IEEE Globecom 2018, [8] Yang, Xinyan & Yi, Yunhui & Xiao, Xinguang & Meng, Yanhong, Mobile Application Identification based on Hidden Markov Model, ITM Web of Conferences, [9] Y. Liu, S. Zhang, B. Ding, X. Li and Y. Wang, "A cascade forest approach to application classification of mobile traces," 2018 IEEE Wireless Communications and Networking Conference (WCNC), Barcelona, pp. 1-6,

31 [10] Ting K.M. (2011) Precision and Recall. In: Sammut C., Webb G.I. (eds) Encyclopedia of Machine Learning. Springer, Boston, MA. [11] (2011) F1-Measure. In: Sammut C., Webb G.I. (eds) Encyclopedia of Machine Learning. Springer, Boston, MA. [12] Ling C.X., Sheng V.S. (2011) Class Imbalance Problem. In: Sammut C., Webb G.I. (eds) Encyclopedia of Machine Learning. Springer, Boston, MA. [13] Perera, Pramitha, Tian, Yu-Chu, Fidge, Colin, & Kelly, Wayne A. (2017) A comparison of supervised machine learning algorithms for classification of communications network traffic. In Liu, Derong, Xie, Shengli, Li, Yuanqing, Zhao, Dongbin, & El-Alfy, El-Sayed (Eds.) Neural Information Processing: 24th International Conference, ICONIP 2017, Proceedings, Part I [Lecture Notes in Computer Science, Volume 10634]. Springer, Switzerland, pp [14] Google Scholar, About: 31

32 Ringraziamenti 32