[發明專利]網絡流的特征提取方法、網絡流異常檢測方法及相關裝置

在審

• 申請號: 202011451447.2
• 申請日: 2020-12-09
• 公開（公告）號: CN112671600A
• 公開（公告）日: 2021-04-16
• 發明（設計）人: 李成明;楊敏;姜青山
• 申請（專利權）人: 中國科學院深圳先進技術研究院
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06;G06N3/04
• 代理公司: 深圳市威世博知識產權代理事務所(普通合伙) 44280
• 代理人: 黎堅怡

本申請公開了一種網絡流的特征提取方法、網絡流異常檢測方法及相關裝置，其中，該網絡流的特征提取方法包括：獲取待處理的網絡流，對網絡流的空間特征進行提取，以得到網絡流的空間特征表示；對空間特征表示的時序特征進行提取，以得到網絡流的時空特征表示。通過上述方式，本申請中的網絡流的特征提取方法能夠提取出網絡流的時空特征的綜合表示，以在基于該綜合表示進行分類檢測時，能夠得到更可靠、準確性更高的檢測結果。

技術領域

本申請涉及網絡流檢測的技術領域，尤其涉及一種網絡流的特征提取方法、網絡流異常檢測方法及相關裝置。

背景技術

目前，基于深度特征學習的網絡流量檢測方法，需要使用深度特征學習模型進行自動地提取特征。網絡檢測的基本單元是網絡流，而網絡流量的底層實際是一串字節。依照網絡協議規定，將流量字節組合成數據包，而數據包進一步組成網絡流，其中，數據包里的字節間存在著空間關系，而網絡流中的每個數據包間又存在時序關系。針對原始的網絡流量，需構建合適的深度特征學習模型，以學習網絡流量的時間特征和空間特征。

然而，在現有技術中，通常是使用卷積神經網絡學習對網絡流的空間特征進行提取，以分別進行加密流量分類和惡意流量分類相關的流量檢測；或，對原始流量數據，建立循環神經網絡進行時序特征提取的學習，以提高相應的檢測性能，但現有的基于卷積神經網絡或循環神經網絡進行網絡流的特征提取的方式，均存在有缺失的部分，以致在基于由此得到的特征表示進行分類檢測時，相應檢測的準確性也較低。

發明內容

本申請提供了一種網絡流的特征提取方法、網絡流異常檢測方法及相關裝置，該網絡流的特征提取方法能夠有效解決現有網絡流的特征提取方法均存在有缺失的部分，進而使進一步進行的分類檢測的準確性較低的問題。

為解決上述技術問題，本申請采用的一個技術方案是：提供一種網絡流的特征提取方法，其中，該網絡流的特征提取方法包括：獲取待處理的網絡流，對網絡流的空間特征進行提取，以得到網絡流的空間特征表示；對空間特征表示的時序特征進行提取，以得到網絡流的時空特征表示。

其中，獲取待處理的網絡流，對網絡流的空間特征進行提取，以得到網絡流的空間特征表示的步驟包括：獲取待處理的網絡流的字節向量，對字節向量進行卷積運算；對卷積運算后的字節向量進行池化處理，以得到空間特征表示。

其中，獲取待處理的網絡流的字節向量，對字節向量進行卷積運算的步驟包括：獲取待處理的網絡流的字節向量，通過第一設定滑動窗口對字節向量進行運算，得到第一運算結果；將第一運算結果與第一設定權重矩陣相乘，并通過第一卷積濾波器對相乘后的乘積進行濾波運算，以得到第一卷積輸出張量；對卷積運算后的字節向量進行池化處理，以得到空間特征表示的步驟包括：通過第一池化濾波器對第一卷積輸出張量進行最大池化運算，以得到第一池化輸出張量；通過第二設定滑動窗口對第一池化輸出張量進行運算，得到第二運算結果；將第二運算結果與第二設定權重矩陣相乘，并通過第二卷積濾波器對相乘后的乘積進行濾波運算，得到第二卷積輸出張量；通過第二池化濾波器對第二卷積輸出張量進行最大池化運算，以得到網絡流的空間特征表示。

其中，獲取待處理的網絡流，對網絡流的空間特征進行提取，以得到網絡流的空間特征表示的步驟包括:獲取待處理的網絡流，通過卷積神經網絡模型對網絡流的空間特征進行提取，以得到空間特征表示。

其中，獲取待處理的網絡流，通過卷積神經網絡模型對網絡流的空間特征進行提取，以得到空間特征表示步驟之前，還包括：通過網絡流樣本中的多個字節向量樣本及其對應的多個時序特征對第一預設網絡模型進行訓練，以建立卷積神經網絡模型。

其中，對空間特征表示的時序特征進行提取，以得到網絡流的時空特征表示的步驟包括：將當前時刻的空間特征表示與設定空間參數矩陣相乘，并將相乘后的乘積與當前時刻的上一時刻的時空特征表示和設定時間參數矩陣的乘積相加，進而將相加得到的和與設定激活函數相乘，以得到時空特征表示。