在CIRA-CIC-DoHBrw-2020数据集中,采用了两层方法来捕获良性和恶意DoH流量以及非DoH流量。要生成代表性数据集,请访问前10k个Alexa网站,并分别使用支持DoH协议的浏览器和DNS隧道工具来生成HTTPS(良性DoH和非DoH)和DoH流量。在第一层,通过使用统计特征分类器将捕获的流量分为DoH和非DoH。在第二层,使用时间序列分类器将DoH流量分为良性DoH和恶意DoH。