[發明專利]一種基于NetFlow數據的特定加密流量識別方法及系統

有效

• 申請號: 202110778054.0
• 申請日: 2021-07-09
• 公開（公告）號: CN113630384B
• 公開（公告）日: 2022-10-14
• 發明（設計）人: 扶佩佩;李真真;茍高鵬;劉暢;楊青婭;李鎮;熊剛
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/14;H04L12/46;G06N3/04;G06N3/08
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 邱曉鋒

1.一種基于NetFlow數據的特定加密流量識別方法，其特征在于，包括以下步驟：

利用原始網絡流量生成NetFlow序列；

采用雙向LSTM網絡對NetFlow序列進行正向和反向的序列建模，捕獲NetFlow序列的上下文關系；

采用注意力機制對NetFlow序列的上下文關系進行注意力權重計算，得到NetFlow序列的特征；

利用得到的NetFlow序列的特征識別加密流量；

所述NetFlow序列包括：單向原始流記錄序列、單向擴充流記錄序列、雙向原始流記錄序列和雙向擴充流記錄序列；

各種NetFlow序列的構成如下：

單向原始流記錄序列：{流持續時間,協議,源端口,目的端口,TCP flag,流內包數,流內字節數}；

單向擴充流記錄序列：{流持續時間,協議,源端口,目的端口,TCP flag,流內包數,流內字節數}+{bps,pps,bpp}；

雙向原始流記錄序列：{流持續時間,協議,源端口,目的端口,TCP flag,上行包數,上行字節數,下行包數,下行字節數,流數}；

雙向擴充流記錄序列：{流持續時間,協議,源端口,目的端口,TCP flag,上行包數,上行字節數,下行包數,下行字節數,流數}+上行{bps,pps,bpp}+下行{bps,pps,bpp}。

2.根據權利要求1所述的方法，其特征在于，所述注意力機制對NetFlow序列的上下文關系中的關鍵信息賦予更高的權重，以增強特征的表達能力。

3.根據權利要求1所述的方法，其特征在于，所述利用得到的NetFlow序列的特征識別加密流量，包括：輸出預測標簽，即NetFlow序列屬于加密流量標簽還是非加密流量標簽。

4.根據權利要求1所述的方法，其特征在于，基于不同的采樣率情況下輸出的NetFlow序列進行加密流量的識別。

5.一種采用權利要求1～4中任一權利要求所述方法的基于NetFlow數據的特定加密流量識別系統，其特征在于，包括：

輸入層模塊，用于輸入利用原始網絡流量生成的NetFlow序列；

編碼層模塊，用于采用雙向LSTM網絡捕獲NetFlow序列的上下文關系；

注意力層模塊，用于采用注意力機制對NetFlow序列的上下文關系進行注意力權重計算，得到NetFlow序列的特征；

輸出層模塊，用于利用得到的NetFlow序列的特征識別加密流量，輸出預測標簽。

6.一種電子裝置，其特征在于，包括存儲器和處理器，所述存儲器存儲計算機程序，所述計算機程序被配置為由所述處理器執行，所述計算機程序包括用于執行權利要求1～4中任一權利要求所述方法的指令。

7.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質存儲計算機程序，所述計算機程序被計算機執行時，實現權利要求1～4中任一權利要求所述的方法。