不仅如此，据说他们还能就这些恶意流量，基于流量特性将之分类到不同的恶意程序家族中。"我们最后还要展示，在仅有这些网络数据的情况下，进行恶意程序家族归类。每个恶意程序家族都有其独特的标签，那么这个问题也就转化为不同类别的分类问题。"
"即便使用相同TLS参数，我们依然就够辨认和比较准确地进行分类，因为其流量模式相较其他流量的特性，还是存在区别的。我们甚至还能识别恶意程序更为细致的家族分类，当然仅通过网络数据就看不出来了。"
实际上，研究人员自己写了一款软件工具，从实时流量或者是抓取到的数据包文件中，将所有的数据输出为比较方便的JSON格式，提取出前面所说的数据特性。包括流量元数据(进出的字节，进出的包，网络端口号，持续时间)、包长度与到达间隔时间顺序(Sequence of Packet Lengths and Times)、字节分布(byte distribution)、TLS头信息。
其实我们谈了这么多，还是很抽象，整个过程还是有些小复杂的。有兴趣的同学可以点击这里下载思科提供的完整报告。 分析结果准确性还不错
思科自己认为，分析结果还是比较理想的，而且整个过程中还融合了其机器学习机制(他们自己称为机器学习classifiers，应该就是指对企业正常TLS流量与恶意流量进行分类的机制，甚至对恶意程序家族做分类)，正好做这一机制的测试。据说，针对恶意程序家族归类，其准确性达到了90.3%。
"在针对单独、加密流量的识别中，我们在恶意程序家族归类的问题上，能够达到90.3%的准确率。在5分钟窗口全部加密流量分析中，我们的准确率为93.2%(make use of all encrypted flows within a 5-minute window)。"
