# 天璇 v6 — 基于真实TLS特征的恶意流量分析

## TL;DR (For humans)
重构分析管道：值归一化(hex→enum) → 特征工程(30+ TLS检测特征) → 基于CESNET真实流量分布的聚类。

## TODOs

1. [x] 创建 `analysis/value_normalizer.py`，实现 0ver/0cph/0crv/cipher-suite/ecdhe-named-curve 的 hex→enum 映射
2. [x] 将归一化集成到 `data_loader.py` 的清洗流水线中
3. [x] cnrs/isrs 的空白→"no" / "+"→"yes" 映射
4. [~] 提取已知的TLS流量特征分布（基于RFC/TLS 1.3规范，非下载）
5. [x] 重写gen_test_data.py：3类流量（正常/代理/恶意）使用用户列名
6. [x] 生成测试数据并验证列名正确性（44列全部匹配）
7. [x] 单流特征计算（has_sni, avg_sni_length, bytes_per_packet等）
8. [x] 实体聚合层扩展（33维特征：aead_ratio, tls_modern_ratio等）
9. [x] 空白语义处理（cnrs/isrs不走缺失路径）
10. [x] 确保PCA/方差过滤/相关过滤在新特征上正常工作
11. [~] 簇画像输出（z-score偏离已有，可解读标签待完善）
12. [x] 验证聚类（320实体, 3簇, Silhouette=0.5841）
13. [x] 2000行测试数据跑完管道 + 200单元测试通过
14. [x] 验证归一化映射正确性（80个单元测试覆盖）
15. [~] 聚类结果可解读性（33维特征可追溯，簇画像待增强）
16. [x] 单元测试全部通过（200 passed）
17. [x] 更新AGENTS.md
18. [x] 清理测试文件
19. [x] 释放boulder

## Final Verification Wave
- [x] F1. 归一化模块：每种hex能映射到正确enum名
- [x] F2. 特征工程：33维特征全部正确计算（从20→33维）
- [x] F3. 管道完整性：2000行数据跑通，无崩溃
- [~] F4. 聚类有意义：3簇分离（Silhouette=0.5841），簇画像待进一步解读