[發明專利]一種基于深度學習的加密流量檢測方法及系統

有效

• 申請號: 202110239809.X
• 申請日: 2021-03-04
• 公開（公告）號: CN113162908B
• 公開（公告）日: 2022-11-15
• 發明（設計）人: 劉玉嶺;湯霽月;韓冬旭;李寧;崔澤林;劉俊榮;盧志剛
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L47/2441;H04L43/0876;G06N3/04;G06V10/764;G06V10/82
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 邱曉鋒

1.一種基于深度學習的加密流量檢測方法，其步驟包括：

對原始流量進行預處理，所述預處理包括按照流與會話的方式將原始流量二次切分成降噪之后的離散流，對原始流量進行匿名化處理與清洗，以及通過將流量統一處理成一定字節的方式將流量處理成圖像；

將預處理后的流量輸入訓練完成的基于CapsNet神經網絡和LSTM神經網絡的加密流量檢測模型，以提取流量的時空特征；

根據時空特征使用分類器檢測加密流量所屬的服務與具體應用的類別；

所述預處理還包括：對于訓練數據集，為保證實驗樣本的多樣性和減小實驗誤差，在規范輸入長度之后，設置總樣本數，在此基礎上按照服務或應用類別比例對樣本進行隨機抽取；

所述基于CapsNet神經網絡和LSTM神經網絡的加密流量檢測模型，使用CapsNet提取下層空間特征以及LSTM提取上層時序特征；CapsNet使用三層網絡，包括兩個卷積層和一個完全連接層，第一個卷積層為ReLU Conv1層，用于捕獲相關流量的空間關系，第二個卷積層為PrimaryCaps層，用于將單個標量輸出的神經元轉換為矢量形式的初級膠囊，完全連接層為DigitCaps層，用于捕獲所有初級膠囊中隱含的局部特征間的空間關系，并將特征輸出到高級膠囊中；

所述基于CapsNet神經網絡和LSTM神經網絡的加密流量檢測模型包括：

ReLU Conv1，用于進行Convolution操作，即卷積操作，其輸入尺寸為28*28，卷積核為9*9，步長為1，輸出尺寸為20*20*256；

PrimaryCap_conv2d，用于進行Convolution操作，即卷積操作，其輸入尺寸為20*20*256，卷積核為9*9，步長為2，輸出尺寸為6*6*256；

PrimaryCap_reshape，用于進行Reshape操作，即重構張量操作，其輸入尺寸為6*6*256，卷積核為9*9，步長為2，輸出尺寸為1152*8*1；

PrimaryCap_squash，用于進行Lambda操作，即正則化操作，其輸入尺寸為1152*8*1，卷積核為9*9，步長為2，輸出尺寸為1152*8*1；

DigitCaps，包含CapsuleLayer，即膠囊神經網絡，其輸入尺寸為1152*8*1，輸出尺寸為12*16*1；

Flatten，用于進行Flatten操作，即扁平化操作，其輸入尺寸為12*16*1，輸出尺寸為192*1；

LSTM_1，用于進行LSTM變換，其輸入尺寸為192*1，輸出尺寸為256*1；

LSTM_2，用于進行LSTM變換，其輸入尺寸為256*1，輸出尺寸為256*1；

Dense，用于進行Dense操作，即全連接操作，其輸入尺寸為256*1，輸出尺寸為12*1；

所述基于CapsNet神經網絡和LSTM神經網絡的加密流量檢測模型，將28*28的流量矩陣輸入到第一卷積層中，利用256個步長為1的9*9的卷積核進行卷積操作，生成256個特征矩陣；第二卷積層使第一卷積層傳輸過來的標量轉換為向量的形式，對256個特征矩陣進行8次不同權重的矩陣變換，其中每一次變換均采用步長為2的32個大小為9*9的卷積核進行相應處理，生成6*6*32個8維向量，其中向量的長度表示原始流量所屬類別的概率，方向則代表流量特征的不同屬性，之后將8維向量輸入到LSTM模塊中大小為192*1的矩陣里，最終輸出12個分類。

2.如權利要求1所述的方法，其特征在于，

所述預處理包括：

將原始連續流量流切分成離散流；

對流量進行匿名化處理與清洗；

按照會話粒度對離散流進行第二次切分，將大尺寸數據包連續分割成小尺寸包，稀釋通信過程附帶的無關流量；

規范流量輸入形式，統一將流量處理成圖像形式并轉換為矩陣，壓縮成IDX文件。