[發明專利]一種基于兩階段序列特征學習的網絡流量分類方法及系統

有效

• 申請號: 201711205047.1
• 申請日: 2017-11-27
• 公開（公告）號: CN108199863B
• 公開（公告）日: 2021-01-22
• 發明（設計）人: 葉曉舟;王偉;曾學文
• 申請（專利權）人: 中國科學院聲學研究所;北京中科智網科技有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L12/26;H04L12/851;H04L29/06;G06K9/62
• 代理公司: 北京億騰知識產權代理事務所(普通合伙) 11309
• 代理人: 陳霽

本發明涉及一種基于兩階段序列特征學習的網絡流量分類方法，方法包括：在數據包和網絡流兩個層次上分兩階段使用長短時記憶神經網絡學習網絡流量的序列特征，第一階段在流量字節序列的基礎上生成數據包向量序列，第二階段在數據包向量序列的基礎上進一步生成網絡流向量，最后使用分類器對網絡流向量執行流量分類。該方法充分考慮了網絡流量的內部結構組織關系，有效利用了長短時記憶神經網絡的時序特征學習能力，得到比較綜合全面的流量特征后再進行分類，能夠實現更加準確的網絡流量分類效果。

技術領域

本發明涉及計算機網絡流量分析領域，具體涉及一種基于兩階段序列特征學習的網絡流量分類方法及系統。

背景技術

網絡流量分類是指按照具體業務需求將網絡流量歸類至某目標類別，是網絡管理和網絡安全領域的一項基本任務。例如，在網絡管理領域，可以將流量分類為不同的優先級，以實現更好的服務質量控制；在網絡安全領域，可以將流量分為正常流量和惡意流量，以實現網絡異常檢測并采取防護措施。

目前，主流的流量分類方法包括：基于端口的方法、基于深層包檢測的方法、基于統計的方法、基于行為的方法。在傳統機器學習方法在網絡流量分類的應用中，流量特征的選取是包含上述的流量結構化信息的。一般的網絡流量特征分為兩類，包特征和流特征。其中，包特征是指數據包的相關特征(例如：包大小和包方向)，流特征是指整個網絡流的相關特征(例如：流持續時間和每秒流比特數)。

由于隨機端口和偽裝端口技術的大量應用，通過端口分類的方法準確率偏低。目前，研究較多的是基于統計的方法和基于行為的方法，它們屬于傳統的機器學習分類方法，特點是需手工設計流量特征，使用不同的流量特征集得到的分類效果往往差別很大。

發明內容

本發明的目的是在于克服目前基于深度學習的網絡流量分類方法沒有充分利用網絡流量結構化信息的問題，提供一種網絡流量分類方法，能夠分階段學習數據包和網絡流兩個層次的網絡流量的序列特征，在此基礎上實現更加準確的流量分類效果。

為實現上述目的，本發明提供了一種基于兩階段序列特征學習的網絡流量分類方法，所述方法包括：在數據包和網絡流兩個層次上分兩階段使用長短時記憶神經網絡學習網絡流量的序列特征，第一階段在流量字節序列的基礎上生成數據包向量序列，第二階段在數據包向量序列的基礎上進一步生成網絡流向量，最后使用分類器對網絡流向量執行流量分類。

第一方面，本申請實施例提供了一種基于兩階段序列特征學習的網絡流量分類方法，該分類方法具體包括：對流量字節序列進行數據包序列特征學習，確定數據包向量序列；對數據包向量序列進行網絡流序列特征學習處理，確定網絡流向量；根據網絡流向量進行網絡流量分類。

在本方案中，利用兩階段用序列特征學習處理，即數據包序列特征學習處理和網絡流序列特征學習處理，充分考慮了網絡流量數據的內部結構組織關系，有效利用目標網絡的時序特征學習能了，得到全面網絡流量數據特征，再進行分類，能夠實現更加準確的網絡流量分類效果，以克服目前基于深度學習的網絡流量分類方法沒有充分利用網絡流量結構化信息的問題。

在一個可選的實現方式中，上述“對流量字節序列進行數據包序列特征學習，確定數據包向量序列”可以包括：使用長短時記憶神經網絡對每個數據包的流量字節序列進行數據包序列特征學習，所述每個數據包生成一個對應的數據包向量，每個網絡流生成一個對應數據包向量序列。

在另一個可選的實現方式中，上述“所述數據包向量序列進行網絡流序列特征學習處理，確定網絡流向量”可以包括：使用長短時記憶神經網絡對所述每個網絡流的數據包向量序列數據進行網絡流序列特征學習，所述每個網絡流生成一個對應的所述網絡流向量。

在又一個可選的實現方式中，上述“長短時記憶神經網絡”可以為長短時記憶神經網絡，其結構為單向網絡或雙向網絡，層數為至少一層。