| Title: | Unsupervised anomaly detection in encrypted TLS traffic without Deep Packet Inspection |
| Other Titles: | Обнаружение аномалий в зашифрованном TLS-трафике без глубокой инспекции пакетов (DPI) с использованием методов обучения без учителя |
| Authors: | Orazdurdyyeva, G. |
| Keywords: | материалы конференций;TLS traffic analysis;flow metadata;Isolation Forest |
| Issue Date: | 2026 |
| Publisher: | БГУИР |
| Citation: | Orazdurdyyeva, G. Unsupervised anomaly detection in encrypted TLS traffic without Deep Packet Inspection = Обнаружение аномалий в зашифрованном TLS-трафике без глубокой инспекции пакетов (DPI) с использованием методов обучения без учителя / G. Orazdurdyyeva // Компьютерное проектирование в электронике = Electronic Design Automation : сборник научных трудов Международной научно-практической конференции, Минск, 23 октября 2026 г. / Белорусский государственный университет информатики и радиоэлектроники ; редкол.: В. Р. Стемпицкий [и др.]. – Минск, 2026. – С. 235–239. |
| Abstract: | Тhe widespread adoption of Transport Layer Security (TLS) encryption has rendered traditional Deep
Packet Inspection (DPI) ineffective for network security monitoring. This paper presents an unsupervised
machine-learning framework that detects anomalous behavior in encrypted TLS traffic using only flow-level
metadata, without decrypting or inspecting payload content. Our approach leverages Isolation Forest and
Autoencoder models trained on seven behavioral features derived from Zeek network logs. Evaluated on the
CICIDS-2017 benchmark dataset, the Autoencoder achieves an AUC of 0.97 with a false positive rate below
5%, while the Isolation Forest reaches AUC 0.94. The results demonstrate that privacy-preserving anomaly
detection is both feasible and accurate at enterprise scale. |
| Alternative abstract: | Широкое распространение шифрования Transport Layer Security (TLS) значительно снизило
эффективность традиционной технологии глубокой инспекции пакетов (Deep Packet Inspection, DPI) для
мониторинга сетевой безопасности. В данной статье представлен подход к обнаружению аномалий в
зашифрованном TLS-трафике на основе методов машинного обучения без учителя (unsupervised
learning), использующий исключительно метаданные сетевых потоков без расшифровки или анализа
содержимого передаваемых данных. Предлагаемый метод основан на применении моделей Isolation
Forest и Autoencoder, обученных на семи поведенческих признаках, извлечённых из сетевых журналов
Zeek. Экспериментальная оценка выполнена на общепризнанном наборе данных CICIDS-2017.
Результаты показали, что модель Autoencoder достигает значения AUC = 0,97 при уровне
ложноположительных срабатываний менее 5 %, тогда как модель Isolation Forest демонстрирует AUC
= 0,94. Полученные результаты подтверждают, что обнаружение аномалий в зашифрованном сетевом
трафике с сохранением конфиденциальности данных является не только практически осуществимым,
но и обеспечивает высокую точность, достаточную для применения в корпоративных сетях большого
масштаба. |
| URI: | https://libeldoc.bsuir.by/handle/123456789/66187 |
| Appears in Collections: | Компьютерное проектирование в электронике (2026)
|
