网页代理提供了一种快捷的中继服务，与其它类型的代理服务相比，如隐匿网络/VPN服务/Socks代理等，用户可以不需要安装任何软件就免费使用。因此，网页代理在绕过访问限制、隐藏身份等方面的便利性上有其不可比拟的优势。然而，网页代理在获取个人隐私信息、推送垃圾广告、隐匿行踪等方面也给人们的网络生活带来严重的安全威胁。所以，如何快速有效地将它们与大量正常网页区分开来成为网络空间安全面临的一个重要挑战。针对这一问题，本文提出了一种基于多维特征分析的网页代理发现方法——ProxyMiner。在主动发现方面，引入了网页代理特有的结构特征和内容特征，通过机器学习的方法进行预测发现。在被动发现方面，基于用户访问网页代理特有的访问模式，通过构建二分图对代理用户进行谱聚类分析，获取代理用户群体访问的顶级域名，从而发现网页代理。此方法仅基于客户端IP地址和目标URL，不需要任何有关HTTP头（经常会被恶意修改）或数据包（通常是加密的或不可用的）的信息。实验结果表明，在相同数据集上，相比于传统检测方法，ProxyMiner可以显著提高网页代理检测效果，降低平均检测时间。
2中国科学院信息工程研究所 信息内容安全技术国家工程实验室，北京 中国100093
摘要 网页代理提供了一种快捷的中继服务，与其它类型的代理服务相比，如隐匿网络/VPN服务/Socks代理等，用户可以不需要安装任何软件就免费使用。因此，网页代理在绕过访问限制、隐藏身份等方面的便利性上有其不可比拟的优势。然而，网页代理在获取个人隐私信息、推送垃圾广告、隐匿行踪等方面也给人们的网络生活带来严重的安全威胁。所以，如何快速有效地将它们与大量正常网页区分开来成为网络空间安全面临的一个重要挑战。针对这一问题，本文提出了一种基于多维特征分析的网页代理发现方法——ProxyMiner。在主动发现方面，引入了网页代理特有的结构特征和内容特征，通过机器学习的方法进行预测发现。在被动发现方面，基于用户访问网页代理特有的访问模式，通过构建二分图对代理用户进行谱聚类分析，获取代理用户群体访问的顶级域名，从而发现网页代理。此方法仅基于客户端IP地址和目标URL，不需要任何有关HTTP头（经常会被恶意修改）或数据包（通常是加密的或不可用的）的信息。实验结果表明，在相同数据集上，相比于传统检测方法，ProxyMiner可以显著提高网页代理检测效果，降低平均检测时间。
