[發(fā)明專利]適用于SDN的Tor流量溯源與應(yīng)用類型識(shí)別方法和系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202010751906.2
• 申請日: 2020-07-30
• 公開（公告）號(hào): CN111953669B
• 公開（公告）日: 2022-10-25
• 發(fā)明（設(shè)計(jì)）人: 王良民;王世豪;殷尚男;黃龍霞;申屠浩;余春堂;謝晴晴
• 申請（專利權(quán)）人: 江蘇大學(xué)
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;H04L41/142;G06K9/62;G06N3/04;G06N3/08
• 代理公司: 南京華恒專利代理事務(wù)所(普通合伙) 32335
• 代理人: 宋方園

1.一種適用于SDN的Tor流量溯源與應(yīng)用類型識(shí)別方法，其特征在于：依次包括以下步驟：

(1)SDN控制器周期性分析Tor網(wǎng)絡(luò)的入口節(jié)點(diǎn)信息，SDN控制器控制SDN交換機(jī)依據(jù)IP和端口發(fā)現(xiàn)待識(shí)別Tor流量，并將待識(shí)別Tor流量復(fù)制轉(zhuǎn)發(fā)至SDN域內(nèi)的服務(wù)器，服務(wù)器抓取捕獲保存所述待識(shí)別Tor流量，并確定所述待識(shí)別Tor流量與發(fā)送者的對應(yīng)關(guān)系，形成待識(shí)別Tor流量集；

(2)提取步驟(1)所得待識(shí)別Tor流量集中每條待識(shí)別Tor流量的基礎(chǔ)特征集，形成基礎(chǔ)特征待識(shí)別Tor流量集，所述基礎(chǔ)特征集包括：雙向累積特征和基礎(chǔ)流特征；

(3)使用訓(xùn)練好的基于深度學(xué)習(xí)算法的特征提取模型對步驟(2)所得基礎(chǔ)特征待識(shí)別Tor流量集中的每條基礎(chǔ)特征待識(shí)別Tor流量進(jìn)行特征重提取，得到128維深度特征向量，形成深度特征待識(shí)別Tor流量集；

(4)使用訓(xùn)練好的基于K近鄰算法的集成學(xué)習(xí)分類器識(shí)別步驟(3)所得深度特征待識(shí)別Tor流量集，得到對應(yīng)的應(yīng)用類型，實(shí)現(xiàn)對步驟(1)所述待識(shí)別Tor流量集的應(yīng)用類型的識(shí)別；

所述步驟(1)中SDN控制器周期性分析Tor網(wǎng)絡(luò)的入口節(jié)點(diǎn)信息的方法為：SDN控制器下載匿名通信工具Tor的源碼，并從中解析權(quán)威目錄服務(wù)器的IP地址；SDN控制器向任意權(quán)威目錄服務(wù)器發(fā)出請求獲取共識(shí)文件consensus.z；SDN控制器解析所述共識(shí)文件，依據(jù)fresh-until字段確定下一次請求所述共識(shí)文件的時(shí)間；SDN控制器解析所述共識(shí)文件依據(jù)“r”字段識(shí)別Tor節(jié)點(diǎn)的IP地址、提供服務(wù)的端口，依據(jù)“s”字段識(shí)別Tor節(jié)點(diǎn)中的入口節(jié)點(diǎn)，得到所有入口節(jié)點(diǎn)的IP和端口；

步驟(1)中SDN交換機(jī)發(fā)現(xiàn)待識(shí)別Tor流量的具體方法為：SDN控制器修改SDN交換機(jī)的流表，控制SDN交換機(jī)通過IP和端口信息識(shí)別用戶的通信對象是否是Tor入口節(jié)點(diǎn)，并以此發(fā)現(xiàn)Tor流量；SDN控制器指示SDN交換機(jī)在正常轉(zhuǎn)發(fā)Tor流量的同時(shí)，將Tor流量復(fù)制轉(zhuǎn)發(fā)至SDN域內(nèi)的服務(wù)器；

步驟(1)中服務(wù)器捕獲所述Tor流量后，將其劃分為不同的流量文件，具體方法為：服務(wù)器使用捕包分析工具捕獲Tor流量，并依據(jù)通信雙方的IP和端口為依據(jù)保存Tor流量，形成待識(shí)別Tor流量集；

所述步驟(2)中基礎(chǔ)流特征包括：傳輸數(shù)據(jù)包數(shù)量、接收數(shù)據(jù)包數(shù)量、接收數(shù)據(jù)包數(shù)量占比、傳輸字節(jié)數(shù)量、接收字節(jié)數(shù)量、接收字節(jié)數(shù)量占比、數(shù)據(jù)包大小、數(shù)據(jù)包間隔到達(dá)時(shí)間、每秒傳輸數(shù)據(jù)包數(shù)量、每秒傳輸字節(jié)數(shù)量、深度包檢測分類以及前20個(gè)數(shù)據(jù)包的間隔到達(dá)時(shí)間；

雙向累積特征包括前100個(gè)數(shù)據(jù)包、前1000個(gè)數(shù)據(jù)包、前100個(gè)TLS記錄和前100個(gè)TLS記錄的加權(quán)和非加權(quán)雙向累積特征；

依據(jù)需要提取特征的Tor流量序列T、Tor用戶的IP地址G、需要提取特征的范圍N、需要提取的特征數(shù)量S、是否提取TLS層的特征B以及是否加權(quán)W，來進(jìn)行特征提取，所述雙向累積特征的具體提取方法如下：如果B為True，則提取Tor流量序列T的前N個(gè)TLS記錄形成子流量序列T₁，否則提取Tor流量序列T的前N個(gè)數(shù)據(jù)包形成子流量序列T₁；創(chuàng)建列表M用于存儲(chǔ)特征，第一個(gè)元素的值為0；對于T₁中的每個(gè)item，獲取item的方向信息d，如果item的源IP為G則d＝1，否則d＝-1，如果W為True則獲取item的長度信息i，否則i＝1，獲取M的最后一個(gè)元素的值l，將d*i+l添加到列表M的尾部；從M中均勻地獲取S個(gè)特征并輸出；

所述步驟(3)的具體過程為：

(3.1)訓(xùn)練特征提取模型：服務(wù)器調(diào)用SDN控制器所轄域內(nèi)受控制的PC集群主動(dòng)生成大批量的不同應(yīng)用類型的Tor流量，然后服務(wù)器捕獲Tor流量集，并賦予相應(yīng)的應(yīng)用類型標(biāo)簽，形成帶標(biāo)簽Tor流量集1；對帶標(biāo)簽Tor流量集1提取基礎(chǔ)特征集，形成帶標(biāo)簽Tor流量基礎(chǔ)特征訓(xùn)練集1；接著，構(gòu)建基于深度學(xué)習(xí)的特征提取模型，并隨機(jī)初始化深度學(xué)習(xí)模型的參數(shù)；將帶標(biāo)簽Tor流量基礎(chǔ)特征訓(xùn)練集1輸入構(gòu)建好的特征提取模型，并使用深度度量學(xué)習(xí)方法指導(dǎo)特征提取模型更新網(wǎng)絡(luò)參數(shù)，訓(xùn)練完畢后獲得該特征提取模型的最終參數(shù)；

(3.2)使用訓(xùn)練好的特征提取模型提取深度特征：將步驟(2)所得的基礎(chǔ)特征待識(shí)別Tor流量集輸入特征提取模型，提取深度特征形成深度特征待識(shí)別Tor流量集；

所述步驟(4)的具體方法為：

(4.1)訓(xùn)練應(yīng)用類型分類模型：服務(wù)器調(diào)用SDN控制器所轄域內(nèi)PC集群主動(dòng)生成小批量的不同應(yīng)用類型的Tor流量，服務(wù)器捕獲通過步驟(1)所述方法捕獲主動(dòng)生成的Tor流量集，并賦予相應(yīng)的應(yīng)用類型標(biāo)簽，形成帶標(biāo)簽Tor流量集2；對該帶標(biāo)簽Tor流量集2提取步驟(2)所得基礎(chǔ)特征集，形成帶標(biāo)簽Tor流量基礎(chǔ)特征訓(xùn)練集2；將帶標(biāo)簽Tor流量基礎(chǔ)特征訓(xùn)練集2輸入步驟(3)所述特征提取模型，提取深度特征，形成帶標(biāo)簽Tor流量深度特征訓(xùn)練集1；使用該帶標(biāo)簽Tor流量深度特征訓(xùn)練集1訓(xùn)練基于K近鄰算法的集成學(xué)習(xí)分類器；

(4.2)Tor流量應(yīng)用類型識(shí)別：將步驟(3)所得到的深度特征待識(shí)別Tor流量集輸入所述訓(xùn)練好的基于K近鄰算法的集成學(xué)習(xí)分類器，識(shí)別得到Tor流量的應(yīng)用類型。