[发明专利]一种网络流量识别方法及装置

权利要求书

1.一种网络流量识别方法，其特征在于，应用于服务器，所述方法包括：

在接收当前数据流完成的情况下，提取所述当前数据流中数据包的包头数据，作为第一样本；

将所述第一样本输入半监督模型，利用所述半监督模型输出所述第一样本的类别及第一样本是否位于簇的边界距离内的结果；所述半监督模型是利用第一训练样本集训练得到且包含已获得包头数据的类别与第一训练样本集中其余样本的分布关系；所述第一训练样本集中包含与至少一个有类别标签的样本；所述分布关系决定所述有类别标签的样本是否位于簇的边界距离内的结果；

在所述第一样本是位于簇的边界距离内的结果情况下，如果所述第一样本是新类别的样本，则在预设的机器识别模型的输出节点中增加一个输出节点，将增加输出节点后的所述机器识别模型作为在线识别模型；

使用所述在线识别模型，识别当前数据流后的下一个数据流的类别；

其中，所述将所述第一样本输入半监督模型，利用所述半监督模型输出所述第一样本的类别及第一样本是否位于簇的边界距离内的结果，包括：

将所述第一样本输入半监督模型，利用所述半监督模型输出所述第一样本的类别；

计算所述第一训练样本集中各个样本的局部密度及最小距离，将局部密度超过密度阈值且最小距离超过距离阈值的样本作为第三样本；所述第一训练样本集为训练所述半监督模型所用样本组成的集合；

将所述第三样本添加至簇中，并且将所述第三样本确定为簇的簇中心点；所述簇的个数与第三样本个数相同，每个簇中只有一个第三样本；

如果所述第一样本与第三样本的距离超过簇的边界距离，则判定所述第一样本不位于簇的边界距离内；

如果所述第一样本与第三样本的距离未超过簇的边界距离，则判定所述第一样本位于簇的边界距离内。

2.根据权利要求1所述的方法，其特征在于，在在接收当前数据流完成的情况下，提取所述当前数据流中数据包包头的数据，作为第一样本的步骤之前，所述方法还包括：

依次接收当前数据流的数据包，并获取所述数据包的五元组信息；

判断数据库是否存储所述五元组信息，如果所述数据库存储所述五元组信息，则将所述数据包的包头数据保存至与所述五元组信息对应路径的存储区域；

如果所述数据库未存储所述五元组信息，则创建与所述五元组信息对应路径的存储区域，将所述数据包的包头数据保存至所述五元组信息对应路径的存储区域。

3.根据权利要求1所述的方法，其特征在于，所述在接收当前数据流完成的情况下，提取所述当前数据流中数据包的包头数据，作为第一样本，包括：

判断当前数据流的各个数据包是否包含结束标识，如果存在一个数据包包含结束标识，则接收数据流已完成，提取所述数据流中数据包的包头数据作为第一样本。

4.根据权利要求1所述的方法，其特征在于，所述在接收当前数据流完成的情况下，提取所述当前数据流中数据包的包头数据，作为第一样本，包括：

在接收当前数据流完成的情况下，提取所述当前数据流中数据包的包头数据；

使用将所述当前数据流中数据包的包头数据进行编码，获得固定维度的向量，将所述固定维度的向量作为第一样本。

5.根据权利要求1所述的方法，其特征在于，所述在所述第一样本位于簇的边界距离内的情况下，如果所述第一样本是新类别的样本，则在预设的机器识别模型的输出节点中增加一个输出节点，将增加输出节点后的所述机器识别模型作为在线识别模型，包括：

在所述第一样本位于簇的边界距离内的情况下，如果第二训练样本集中存在与所述第一样本的类别相同的第二样本，则判定所述第一样本不是新类别的样本，并更新预设的机器识别模型的参数；所述第二训练样本集为训练所述机器识别模型所用的数据流组成的集合；

在所述第一样本位于簇的边界距离内的情况下，如果第二训练样本集中未存在与所述第一样本的类别相同的第二样本，则判定所述第一样本是新类别的样本，并在预设的机器识别模型的输出节点中增加一个输出节点，将增加输出节点后的所述机器识别模型作为在线识别模型。