一种DoH实时流量识别系统.pdfVIP

信息安全研究第11卷第4期2025年4月

JournalotinformatienSecurityResearchVol.11No.4Apr.2025DOl:10.12379/j.issn.2096-1057.2025.04.09

一种DoH实时流量识别系统

孙璇马行一康海燕

（北京信息科技大学计算机学院北京100192)

(sunxuan@)

ADoHReal-timeTrafficIdentificationSystem

SunXuan,MaXingyi,andKangHaiyan

(SchoolofComputer,BeijingInformationScienceandTechnologyUniversity,Beijing100192)

AbstractDoH(Dns-over-https)technologyhasbecomethemainmeansofencryptingDNS.

DifferentfromDoHtrafficdatasetsthatarecapturedoveralongperiodoftime,real-timeDoH

trafficidentificationrequiresmultipletrafficcaptureinashortperiodoftime,resultingintraffic

fragmentationandmakeingflowlevelandsessionlevelfeaturesnotapplicable.Inordertosolve

thisproblem,aDoHreal-timetrafficidentificationsystemisproposed.Thesystemutilizesthe

DNSresolutionserverIPdictionaryforpreliminaryandrapididentification,andestablishesa

featureextractionmethodforDoHreal-timetrafficbasedontherelevantcharacteristicsofpacket

length,interpacketlatency,andtrafficsurge,combinedwithmachinelearningmodelsfor

accuratetrafficidentification.Multiplenetworkpublicdatasetsareused,andareal-timeDoH

trafficdatasetareindependentlygeneratedforverificationexperiments.Theexperimentalresults

showthatthefeatureextractionmethodusedinthetrafficidentificationsystem,canaccurately

identifyreal-timeDoHtraffic.

KeywordsDNS;DNS-over-HTTPS;encryptedtraffic;realtimetraffic;machinelearning

摘要DoH(DNS-over-HTTPS)技术已经成为加密DNS的主要手段.与经过长时间捕获得到的

DoH流量数据集不同，进行DoH实时流量识别需要多次短时间内捕获流量，导致流量呈碎片化，使

得流级和会话级特征不适用.为了解决这一问题，提出了一种DoH实时流量识别系统.系统利用

DNS解析服务器IP字典进行初步快速识别，并根据DoH实时流量在数据包长度、数据包间时延及

流量激增的相关特性，建立了针对DoH实时流量的特征提取方法，搭配机器学习模型进行流量准确

识别.使用多个网络公开数据集，并自主生成DoH实时流量数据集进行验证实验.实验结果显示，流

量识别系统所使用的特征提取方法能准确识别DoH实时流量.

关键词DNS;DNS-over-HTTPS加密流量；实时流量；机器学习

中图法分类号TP393.08

互联网作为人类社会信息化进程中的重要组信必不可少