[發明專利]一種基于深度學習和序列化特征的網絡應用識別方法及系統

有效

• 申請號: 202110444021.2
• 申請日: 2021-04-23
• 公開（公告）號: CN113179223B
• 公開（公告）日: 2022-08-26
• 發明（設計）人: 余順爭;汪擎天
• 申請（專利權）人: 中山大學
• 主分類號: H04L47/2441
• 分類號: H04L47/2441;H04L47/24;G06N3/08;G06N3/04
• 代理公司: 廣州粵高專利商標代理有限公司 44102
• 代理人: 劉俊

1.一種基于深度學習和序列化特征的網絡應用識別方法，其特征在于，包括以下步驟：

S1：提取未知網絡應用服務流量中的會話流，對所述會話流進行數據預處理；

S2：從所述會話流中提取序列特征，得到一組完整的反映網絡應用流量特性的時序特征數據；其中，從所述會話流中提取序列特征的步驟包括：

S21：采用雙向LSTM網絡對經過數據預處理的明文數據包進行學習，得到每個明文數據包對應的載荷特征向量；

S22：將經過數據預處理的密文數據包進行統計特征提取，將得到的統計特征向量和所述載荷特征向量排列得到時序特征數據；所述統計特征包括密文數據包的包大小及包間隔時間；

S3：將所述時序特征數據輸入神經網絡分類模型，得到未知網絡應用服務流量的識別結果；所述神經網絡分類模型包括一維CNN網絡。

2.根據權利要求1所述的網絡應用識別方法，其特征在于，對所述會話流進行數據預處理的步驟包括：

S11：將原始網絡應用服務流量中的會話流切分為會話數據集；

S12：從所述會話數據集中提取會話中每條流量的數據流負載信息作為有效載荷字節并保存；

S13：選取獨熱編碼方式，將所述會話數據集中的明文數據對應的有效載荷字節編碼為獨熱數據形式。

3.根據權利要求2所述的網絡應用識別方法，其特征在于，所述原始網絡應用服務流量中的會話流以會話作為切分的基本單元。

4.根據權利要求3所述的網絡應用識別方法，其特征在于，所述會話包括具有相同五元組的所有包，所述五元組包括源IP、源端口、目的IP、目的端口和傳輸層協議。

5.根據權利要求1所述的網絡應用識別方法，其特征在于，所述雙向LSTM網絡包括依次連接的兩個LSTM層，以及全連接層，其中，所述兩個LSTM層依次從正向和反向掃描序列；所述全連接層采用ReLU函數作為激活函數，并采用Dropout機制丟失50％的特征。

6.根據權利要求1所述的網絡應用識別方法，其特征在于，所述一維CNN網絡包括依次連接的過濾器、卷積層、池化層、全連接層和Softmax層。

7.根據權利要求6所述的網絡應用識別方法，其特征在于，所述卷積層和池化層在同一維度上操作。

8.根據權利要求6所述的網絡應用識別方法，其特征在于，還包括以下步驟：采集不同的已知網絡應用服務流量中的會話流，對其進行序列特征提取后輸入所述神經網絡分類模型中進行預訓練，所述神經網絡分類模型輸出相應的預測標簽；根據所述預測標簽與其相應的網絡應用服務流量類別進行比較，并對所述神經網絡分類模型的參數進行調整。

9.一種基于深度學習和序列化特征的網絡應用識別系統，應用于權利要求1～8任一項所述的基于深度學習和序列化特征的網絡應用識別方法，其特征在于，包括：

數據預處理模塊，用于提取網絡應用服務流量中的會話流，對所述會話流進行數據預處理，并將所述會話流中的明文數據包編碼為獨熱數據形式；

序列特征提取模塊，用于從經過數據預處理的會話流中提取序列特征，得到一組完整的反映網絡應用流量特性的時序特征數據；

神經網絡分類模塊，用于對輸入的時序特征數據進行分類，輸出得到網絡應用服務流量的識別結果。