[發(fā)明專利]基于集成學(xué)習(xí)的僵尸網(wǎng)絡(luò)惡意流量分類方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202010122760.5
• 申請日: 2020-02-27
• 公開（公告）號: CN111340191B
• 公開（公告）日: 2023-02-21
• 發(fā)明（設(shè)計(jì)）人: 陳羽中;張毓東
• 申請（專利權(quán)）人: 福州大學(xué)
• 主分類號: G06N3/0464
• 分類號: G06N3/0464;G06N3/047;G06N3/084;G06N20/20;H04L9/40
• 代理公司: 福州元創(chuàng)專利商標(biāo)代理有限公司 35100
• 代理人: 丘鴻超;蔡學(xué)俊

1.一種基于集成學(xué)習(xí)的僵尸網(wǎng)絡(luò)惡意流量分類方法，其特征在于，包括以下步驟：

步驟A：將已標(biāo)注類別的惡意流量數(shù)據(jù)轉(zhuǎn)換為帶類別標(biāo)簽的IDX圖像數(shù)據(jù)，建立惡意流量訓(xùn)練集R；

步驟B：構(gòu)造包含三個(gè)深度殘差卷積神經(jīng)網(wǎng)絡(luò)的初級分類器，構(gòu)造softmax邏輯回歸模型作為次級分類器；

步驟C：將訓(xùn)練集R分為R₀和R₁兩部分，使用R₀訓(xùn)練初級分類器，提取惡意流量特征向量，并將提取的特征向量添加到R₀中，以增強(qiáng)該部分訓(xùn)練集；

步驟D：將增強(qiáng)后的訓(xùn)練集與R₁合并，用其訓(xùn)練次級分類器；

步驟E：將待判定類別的惡意流量數(shù)據(jù)轉(zhuǎn)換為IDX圖像格式，輸入到訓(xùn)練好的次級分類器，輸出判定結(jié)果；

所述步驟A具體包括以下步驟：

步驟A1：從已標(biāo)注類別的惡意流量數(shù)據(jù)中清除沒有應(yīng)用層數(shù)據(jù)的數(shù)據(jù)報(bào)文；

步驟A2：對步驟A1處理后的惡意流量數(shù)據(jù)進(jìn)行劃分，將屬于同一TCP會話的惡意流量數(shù)據(jù)劃分為一組，將惡意流量數(shù)據(jù)中的網(wǎng)絡(luò)層、傳輸層、應(yīng)用層報(bào)文信息保存到一個(gè)二進(jìn)制文件中；

步驟A3：將步驟A2得到的二進(jìn)制文件截?cái)嗷蜓a(bǔ)0x00到固定長度M個(gè)字節(jié)，以保留TCP會話中能夠反映流量類別特征的網(wǎng)絡(luò)層首部、傳輸層首部、應(yīng)用層首部信息以及部分應(yīng)用層數(shù)據(jù)，去除不能反映流量類別特征的其他應(yīng)用層數(shù)據(jù)；以字節(jié)為單位，將每個(gè)字節(jié)轉(zhuǎn)換為灰度值，輸出大小為m×m的灰度圖像文件，M＝m²；

步驟A4：將步驟A3得到的灰度圖像文件轉(zhuǎn)換為IDX圖像文件；

步驟A5：遍歷已標(biāo)注類別的惡意流量數(shù)據(jù)，得到訓(xùn)練集R；

其中R＝{(x_i,y_i)|i＝1,2,...,N}，N為訓(xùn)練集R中的惡意流量樣本數(shù)，x_i為一個(gè)IDX圖像文件，y_i為對應(yīng)的惡意流量類別標(biāo)簽；y_i∈C＝{1,2,...,K}，C表示惡意流量類別標(biāo)簽集合，y_i＝c,1≤c≤K，表示x_i為第c種惡意流量類別。

2.根據(jù)權(quán)利要求1所述的基于集成學(xué)習(xí)的僵尸網(wǎng)絡(luò)惡意流量分類方法，其特征在于，所述惡意流量類別為包括Cridex、Geodo、Htbot、Miuref、Neris、Nsisay、Shifu、Virut和Zeus的僵尸網(wǎng)絡(luò)惡意流量。

3.根據(jù)權(quán)利要求1所述的基于集成學(xué)習(xí)的僵尸網(wǎng)絡(luò)惡意流量分類方法，其特征在于，所述步驟B中，所述三個(gè)深度殘差卷積神經(jīng)網(wǎng)絡(luò)分別為ResNet₁、ResNet₂和ResNet₃；每個(gè)深度殘差卷積神經(jīng)網(wǎng)絡(luò)包括五個(gè)殘差單元和兩個(gè)全連接層；其中，每個(gè)殘差單元按照輸入樣本的數(shù)據(jù)流向依次包括1個(gè)卷積層、1個(gè)批量正則化層、1個(gè)線性激活層和2個(gè)卷積層。

4.根據(jù)權(quán)利要求3所述的基于集成學(xué)習(xí)的僵尸網(wǎng)絡(luò)惡意流量分類方法，其特征在于，所述步驟C具體包括以下步驟：

步驟C1：將數(shù)據(jù)集R隨機(jī)分為R₀和R₁兩個(gè)訓(xùn)練子集，再將R₀隨機(jī)拆分成三個(gè)訓(xùn)練子集和

步驟C2：分別使用和三個(gè)訓(xùn)練子集對三個(gè)深度殘差卷積神經(jīng)網(wǎng)絡(luò)ResNet₁、ResNet₂和ResNet₃進(jìn)行訓(xùn)練；

步驟C3：利用步驟C2訓(xùn)練好的三個(gè)深度殘差卷積神經(jīng)網(wǎng)絡(luò)ResNet₁、ResNet₂和ResNet₃分別對R₀中的每個(gè)IDX圖像樣本進(jìn)行惡意流量特征向量提取，然后對ResNet₁、ResNet₂和ResNet₃獲得的特征向量求平均，輸出與各IDX圖像樣本對應(yīng)的特征向量，并將各特征向量覆蓋到對應(yīng)的IDX圖像樣本的二進(jìn)制文件末尾，保持文件字節(jié)數(shù)不變；遍歷R₀中的每個(gè)IDX圖像樣本后，得到特征增強(qiáng)后的訓(xùn)練子集