[發明專利]一種基于雙通道卷積神經網絡的加密流量分類方法

有效

• 申請號: 201910509860.0
• 申請日: 2019-06-13
• 公開（公告）號: CN110197234B
• 公開（公告）日: 2020-05-19
• 發明（設計）人: 曾雪梅;陳興蜀;岳亞偉;何濤;王麗娜;文奕;韓珍輝
• 申請（專利權）人: 四川大學
• 主分類號: G06K9/62
• 分類號: G06K9/62;G06N3/04;H04L29/06
• 代理公司: 成都禾創知家知識產權代理有限公司 51284
• 代理人: 裴娟

1.一種基于雙通道卷積神經網絡的加密流量分類方法，其特征在于，包括以下步驟：

步驟1：對網絡流進行預處理，形成基于數據包頭屬性的流量表示；

步驟1.1：以流開始時間、源IP地址、目的IP地址、源端口、目的端口為關鍵字，對輸入數據進行聚合，具有相同關鍵字的數據包記錄被聚合在一個數據集合中，并按照數據包到達時間的先后按順序排列；聚合后的數據作為一條網絡流數據進行處理；

步驟1.2：從形成的網絡流數據中，選擇排在最前面的n個數據包記錄，并從每個記錄中提取8個屬性：包括數據包字節數、數據包到達時間間隔、數據包的方向、SYN標志位值、FIN標志位值、ACK標志位值、PSH標志位值、RST標志位值，形成一個長度為n×8的屬性序列；

步驟1.3：對形成的n×8的屬性序列進行重新編排，轉換為n×8的矩陣：每一行表示一個數據包，每一列表示從數據包頭部抽取的某一種屬性；

步驟2：對網絡流進行預處理，形成基于時間分段的低階統計特征的流量表示；

步驟2.1：按照等差級數對時間進行分段；假設初始時間段時長為t₀，公差為d，劃分的時間段數量為k，則劃分時間段的等差級數為t₀,t₀+d,t₀+2d,...,t₀+(k-1)d，總時長為

步驟2.2：計算網絡流中的每個數據包的包到達時間與網絡流中的第一個數據包的包到達時間的間隔值U＝{u₁,u₂,u₃,…,u_i,...}；對于每個數據包，根據時間間隔u_i的取值，把網絡流中前T時長內到達的數據包劃分到根據步驟2.1形成不同的時間段中；

步驟2.3：計算每個時間段的12個特征：包括發送數據包字節數、接收數據包字節數、發送數據包數量、接收數據包數量、平均數據包到達時間間隔、發送數據包平均到達時間間隔、接收數據包平均到達時間間隔、SYN標志位數量、FIN標志位數量、ACK標志位數量、PSH標志位數量、RST標志位數量，形成一個長度為k×12的屬性序列；

步驟2.4：對形成的k×12的屬性序列進行重新編排，轉換為k×12的矩陣：每一行表示一個時間分段，每一列表示從時間段得到的某一個統計特征；k個時間分段按開始時間的先后排序，依次構成矩陣的每一行；

步驟3：構建具有兩個獨立輸入通道的基于卷積神經網絡的分類模型；

基于卷積神經網絡的分類模型包括兩個輸入通道，其中一個輸入通道以基于數據包頭屬性的流量表示作為輸入，另一個通道以基于時間分段的低階統計特征的流量表示為輸入；兩個通道的網絡結構相同，均是由多個卷積層、激活層、池化層構成的卷積神經網絡；令第一個通道形成的輸出向量為CH1＝(c₁₁,c₁₂,c₁₃,...)，第二個通道形成的輸出向量為CH2＝(c₂₁,c₂₂,c₂₃,...)，緊跟著兩個通道的是一個拼接層，即將兩個通道的輸出向量拼接，形成新的輸出向量CH，其形式化表達為：CH＝CH1||CH2＝(c₁₁,c₁₂,c₁₃,...,c₂₁,c₂₂,c₂₃,...)，其中，“||”表示向量的連接操作；在拼接層之后是若干全連接層，最后是一個用于輸出分類結果的分類器層。

2.如權利要求1所述的一種基于雙通道卷積神經網絡的加密流量分類方法，其特征在于，還包括步驟4：以步驟1和步驟2的兩種流量表示的樣本數據同時作為輸入，通過基于卷積神經網絡的分類模型訓練和測試，驗證模型的分類效果。