[發明專利]一種基于深度神經網絡的加密網絡流量識別方法

有效

• 申請號: 201910585325.3
• 申請日: 2019-07-01
• 公開（公告）號: CN110247930B
• 公開（公告）日: 2020-05-12
• 發明（設計）人: 沈蒙;譚曰文;張晉鵬;祝烈煌;陳偲祺
• 申請（專利權）人: 北京理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N3/04;G06N3/08
• 代理公司: 北京理工正陽知識產權代理事務所(普通合伙) 11639
• 代理人: 毛燕

1.一種基于深度神經網絡的加密網絡流量識別方法，其特征在于：包括如下步驟：

步驟1、基于抓取、部署以及提取操作獲取離線數據集，生成訓練集及測試集，具體為：

步驟1.1基于網絡抓包工具搭建數據集獲取平臺，監聽并存儲流經該數據集獲取平臺的SSL/TLS加密網絡流量；

步驟1.2選擇多個網關及網絡紐帶節點部署步驟1.1中的數據集獲取平臺，生成多個離線數據子集；

步驟1.3合并步驟1.2生成的多個離線數據子集，過濾掉非SSL/TLS加密協議的數據包，生成過濾后的數據包，再基于過濾后的數據包提取多條數據流；

步驟1.4將步驟1.3提取的每條數據流中的前N個數據包的七元組縮減為三元組表示，再將該三元組存儲為3*N的二維矩陣；

步驟1.5將所有離線數據子集中數據流重新組合為兩個數據集：一個訓練集以及一個測試集，具體為：

隨機選取所有離線數據子集中的80％的數據流匯集為訓練集；隨機選取所有離線數據子集中的20％的數據流匯集為測試集，以此作為分類和識別的標簽；

步驟2、搭建深度神經網絡模型，具體為：

步驟2.1針對步驟1中生成的三元組加入深度神經網絡的一個卷積層，調整輸入格式為3*N的形式；

其中，一個卷積層的參數包括卷積核個數、卷積核大小、卷積核步長以及填充格式；

步驟2.2在步驟2.1后加入一個激活函數層，該激活函數層的參數為激活函數種類；

步驟2.3在步驟2.2后加入一個池化層，該池化層的參數包括池化層種類、池化核大小、池化核步長以及填充格式；

至此，從步驟2.1到步驟2.3，搭建了第一個特征提取模塊，該特征提取模塊包括一個卷積層、一個激活函數層以及一個池化層；

步驟2.4重復步驟2.1到步驟2.3，搭建本深度神經網絡的第二個特征提取模塊；

其中，第一個特征提取模塊以及第二個特征提取模塊中所包含的卷積層、激活函數層以及池化層中的參數種類相同，但是參數值不同；

步驟2.5加入Flatten扁平化層；

步驟2.6加入一個全連接層，該全連接層的參數為神經元個數；

步驟2.7加入一個激活函數層，該激活函數層的參數為激活函數種類；

至此，從步驟2.6到步驟2.7，搭建了第一個全連接層模塊，該全連接層模塊包括一個全連接層以及一個激活函數層；

步驟2.8重復步驟2.6到步驟2.7，搭建第二個全連接層模塊；

其中，第一個全連接層模塊以及第二個全連接層模塊中所包含的全連接層以及激活函數層的參數種類相同，但是參數值不同；

步驟2.9加入一個全連接層，該全連接層的神經元個數為所需分類的來源IP地址總類數；

步驟2.10加入softmax函數層；

至此，從步驟2.1到步驟2.10，搭建起了深度神經網絡；

其中，BN層即Batch Normalization層，為批正規化層；

步驟3、數據讀取、模型訓練及參數優化，將步驟1得到的離線數據集輸入步驟2得到的深度神經網絡模型中進行訓練，迭代直至準確率達標后即停止訓練，得到訓練好的深度神經網絡模型，具體包括如下子步驟：

步驟3.1讀取訓練集，并將讀取的訓練集數據輸入深度神經網絡；

步驟3.2使用訓練函數訓練神經網絡，訓練函數的參數為迭代次數，得到經過訓練的深度神經網絡；

步驟3.3參數優化，針對步驟3.2得到的經過訓練的深度神經網絡內所有參數進行調整優化，使深度神經網絡的識別準確率最終達到理想值；

其中，深度神經網絡內的所有參數包括步驟2.1至步驟2.8搭建深度神經網絡過程中使用的全部參數以及步驟3.2使用的迭代次數；

步驟4、搭建、部署在線網絡流抓取平臺，抓取在線數據集，輸出三元組格式的數據流，具體包括如下子步驟：

步驟4.1基于Wireshark或Tshark網絡抓包工具，搭建在線網絡流抓取平臺，并截獲流經該抓取平臺的加密數據流為后續分類與識別操作提供數據支持；

步驟4.2將步驟4.1中的在線網絡流抓取平臺部署于在線網絡流識別的網絡位置；

步驟4.3在線抓取加密數據流，并過濾無用數據包，將其作為在線數據集；

步驟5、在線網絡流識別，將步驟4得到的三元組格式的數據流輸入步驟3得到的訓練好的深度神經網絡模型中進行在線識別，即可得到識別結果。