[發明專利]基于工控系統原始流量的深度學習協議識別方法及系統

在審

• 申請號: 202210554976.8
• 申請日: 2022-05-19
• 公開（公告）號: CN114979017A
• 公開（公告）日: 2022-08-30
• 發明（設計）人: 鄭秋華;徐振;貝詩雨;謝濤;王曉軒;王硯;吳鋌;翟亮
• 申請（專利權）人: 杭州電子科技大學
• 主分類號: H04L47/2483
• 分類號: H04L47/2483;H04L47/2441;H04L43/18;G06K9/62;G06N3/04;G06N3/08
• 代理公司: 杭州君度專利代理事務所(特殊普通合伙) 33240
• 代理人: 朱亞冠

1.一種基于工控系統原始流量的深度學習協議識別方法，其特征在于包括以下步驟：

步驟S1：獲取工控協議類型未知的工控協議原始流量數據；

步驟S2：對工控協議原始流量數據進行預處理，得到預處理后的工控協議流量數據；具體是：

對工控協議原始流量數據依次進行原始流量數據形式選擇、數據長度切分、數據清洗、數據轉換標注；

所述的原始流量數據形式選擇具體是：

依照流量粒度，將捕獲的所有流量數據劃分為單數據包形式，得到原始流量的一維數據表示形式；所述單數據包包括五元組、包的長度、持續時間、載荷；

所述的數據長度切分具體是：

對原始流量數據形式選擇處理后的單數據包切分得到前面字節長度為L的數據片段，該數據片段包括TCP頭部、工控協議頭部以及工控協議載荷的部分或全部數據，即為待識別協議流量數據片段；

所述數據清洗具體是：

根據協議通信過程，刪除當前待識別協議流量數據的TCP建立過程中TCP連接建立包、確認建立包、連接確認包，以及大量的重復包和壞包；同時，對數據長度切分后的數據片段中TCP頭部的MAC和IP地址進行隨機化處理；

所述的數據轉換標注具體是：

將數據清洗后的流量數據中十六進制字符型數據逐位轉換為數值型，然后利用One-Hot方式進行標注；

步驟S3：利用協議識別模型對預處理后的工控協議流量數據提取數據中的結構特征和數據間的時序特征，進而識別出工控協議流量數據所對應的工控協議類別；

所述的協議識別模型包括空間特征學習、注意力學習階段和時序特征學習階段；

所述空間特征學習、注意力學習階段采用基于注意力機制的一維卷積神經網絡AM-1DCNN，接收預處理后的待識別協議流量數據；基于注意力機制的一維卷積神經網絡中利用一維卷積神經網絡1DCNN通過卷積和池化操作提取數據的空間相關性特征，刻畫原始協議流量數據的局部結構特征，不斷更新卷積核參數，實現自動提取一維數據的結構特征；同時，引入注意力機制，對一維卷積神經網絡1DCNN按照原始輸入特征進行權重劃分，有偏重地提取特征；

所述時序特征學習階段采用長短期記憶網絡。

2.根據權利要求1所述的一種基于工控系統原始流量的深度學習協議識別方法，其特征在于所述的數據長度切分過程中若數據包內數據長度超過字節長度L則進行截斷處理，若少于字節長度L則用“0”填充。

3.根據權利要求1所述的一種基于工控系統原始流量的深度學習協議識別方法，其特征在于所述基于注意力機制的一維卷積神經網絡具體是利用一維卷積神經網絡1DCNN通過一維卷積實現原始輸入X到特征圖U的Transformation，然后對特征圖U做全局平均池化操作，即squeeze過程，得的1×C特征圖；輸出的1×C特征圖經過全連接，即excitation過程，將特征限制到[0,1]；把限制到[0,1]的特征作為scale的參數乘特征圖U的W通道獲得特征X′。

4.根據權利要求1所述的一種基于工控系統原始流量的深度學習協議識別方法，其特征在于所述長短期記憶網絡利用不同的“門函數”對基于注意力機制的一維卷積神經網絡輸出的時序特征進行更新、提取，最后利用Softmax分類器輸出預測的工控協議類別。

5.根據權利要求1所述的一種基于工控系統原始流量的深度學習協議識別方法，其特征在于所述協議識別模型的訓練包括向前傳播和向后傳播兩個階段，向前傳播階段將樣本數據輸入到協議識別模型中，依次利用各層提取協議數據的特征并由分類器輸出預測的工控協議類別，向后傳播階段是將預測工控協議類別與真實工控協議類別進行比較，利用損失函數計算誤差并向后傳播，用來更新模型參數。

6.根據權利要求5所述的一種基于工控系統原始流量的深度學習協議識別方法，其特征在于向后傳播階段的損失函數選擇交叉熵函數。

7.一種工控系統原始流量的深度學習協議識別系統，其特征在于包括：

數據收集單元，用于獲取網絡流量數據，組成協議類型未知的數據包；

預處理單元，用于對所述數據包進行預處理；

判斷模塊，用于將預處理單元處理后數據輸入預先構建訓練好的協議識別模型中，提取數據的時空特征，通過模型判斷數據包對應的工控層協議類別。