tianxuan/.omo/plans/tianxiu-v6.md

天璇 v6 — 基于真实TLS特征的恶意流量分析

TL;DR (For humans)

重构分析管道：值归一化(hex→enum) → 特征工程(30+ TLS检测特征) → 基于CESNET真实流量分布的聚类。

TODOs

1. 创建 analysis/value_normalizer.py，实现 0ver/0cph/0crv/cipher-suite/ecdhe-named-curve 的 hex→enum 映射
2. 将归一化集成到 data_loader.py 的清洗流水线中
3. cnrs/isrs 的空白→"no" / "+"→"yes" 映射
4. [~] 提取已知的TLS流量特征分布（基于RFC/TLS 1.3规范，非下载）
5. 重写gen_test_data.py：3类流量（正常/代理/恶意）使用用户列名
6. 生成测试数据并验证列名正确性（44列全部匹配）
7. 单流特征计算（has_sni, avg_sni_length, bytes_per_packet等）
8. 实体聚合层扩展（33维特征：aead_ratio, tls_modern_ratio等）
9. 空白语义处理（cnrs/isrs不走缺失路径）
10. 确保PCA/方差过滤/相关过滤在新特征上正常工作
11. [~] 簇画像输出（z-score偏离已有，可解读标签待完善）
12. 验证聚类（320实体, 3簇, Silhouette=0.5841）
13. 2000行测试数据跑完管道 + 200单元测试通过
14. 验证归一化映射正确性（80个单元测试覆盖）
15. [~] 聚类结果可解读性（33维特征可追溯，簇画像待增强）
16. 单元测试全部通过（200 passed）
17. 更新AGENTS.md
18. 清理测试文件
19. 释放boulder

Final Verification Wave

• F1. 归一化模块：每种hex能映射到正确enum名
• F2. 特征工程：33维特征全部正确计算（从20→33维）
• F3. 管道完整性：2000行数据跑通，无崩溃
• [~] F4. 聚类有意义：3簇分离（Silhouette=0.5841），簇画像待进一步解读