在CIRA-CIC-DoHBrw-2020数据集中，采用了两层方法来捕获良性和恶意DoH流量以及非DoH流量。要生成代表性数据集，请访问前10k个Alexa网站，并分别使用支持DoH协议的浏览器和DNS隧道工具来生成HTTPS（良性DoH和非DoH）和DoH流量。在第一层，通过使用统计特征分类器将捕获的流量分为DoH和非DoH。在第二层，使用时间序列分类器将DoH流量分为良性DoH和恶意DoH。