[发明专利]基于多层神经网络的网络应用识别方法

权利要求书

1.一种基于多层神经网络的网络应用识别方法，其特征在于，提取网络数据流的特征，搭建并训练多层神经网络，该方法的具体步骤包括：

(1)抓取网络流量数据包：

使用网络嗅探工具，在网络流量高峰时段，分别抓取有线网络环境下和无线网环境下的一段网络流量，将网络流量中的数据包组成数据包集合；

(2)生成网络数据流的特征集合：

(2a)将数据包集合中相同属性的数据包划分成一个小集合，作为一条网络数据流，重复选取直到将数据包集合中的所有数据划分完，最终得到由多条网络数据流组成的网络数据流集合；

(2b)提取每一条网络数据流中每个数据包的13种特征，将所有数据包的特征组成该条网络数据流的流特征，将所有的流特征组成流特征集合；

(3)生成数据集：

(3a)从流特征集合中选取一条未选取过的流特征，对所选流特征的13种特征分别做归一化处理，将处理后的13种特征竖向组合成一个13×1的列向量，作为所选网络数据流的流量特征；

(3b)人工识别所选流特征的网络应用类型，并对所识别的网络应用类型进行独热编码，得到与所识别的网络应用类型对应的应用类型向量；

(3c)判断是否选取完流特征集合中的流特征，若是，则执行步骤(3d)，否则，执行步骤(3a)；

(3d)将所有流量特征组合成流量特征集合，将所有应用类型向量组合成应用类型集合；

(4)生成训练集和测试集：

(4a)在流量特征中随机选取80％的流量特征以及对应的应用类型，组成训练样本集；

(4b)将剩余的流量特征和对应的应用类型，组成测试样本集；

(5)构建多层神经网络：

(5a)搭建一个四层的神经网络，其结构依次是输入层→第一隐藏层→第二隐藏层→输出层；

(5b)设置神经网络中各层的参数：将输入层的神经元个数设置为13个，激活函数为ReLU函数；将第一隐藏层和第二隐藏层的神经元个数设置为8个，激活函数为ReLU函数；将输出层的神经元个数设置为6个，激活函数为softmax函数；

(5c)使用Xavier初始化方法，对神经网络中的每个神经元的参数进行初始化；

(6)训练神经网络：

(6a)将训练样本集中所有流量特征输入到多层神经网络中，经过前向传播计算方法，输出所有流量特征的预测应用类型；

(6b)利用误差公式，计算训练样本集中每条流量特征的预测应用类型与训练样本实际应用类型的损失值；

(6c)判断每条流量特征的损失值是否小于10^-1，若是，则执行步骤(6d)，否则，执行步骤(6e)；

(6d)将每条流量特征的损失值，按照随机梯度下降法，反向传播调整多层神经网络中每个神经元的参数，直到训练样本集所有流量特征的损失值都对多层神经网络的神经元参数进行了调整后再执行步骤(6a)；

(6e)完成多层神经网络训练，得到训练好的多层神经网络；

(7)对测试样本集进行识别：

将测试样本集输入到训练好的多层神经网络中，得到最终测试样本集的应用类型。

2.根据权利要求1中所述的基于多层神经网络的网络应用识别方法，其特征在于，步骤(2a)中所述数据包集合中相同属性包括：数据包的源IP地址、数据包的源端口、数据包的目的IP地址、数据包的目的端口、数据包的传输层协议五种类型。

3.根据权利要求1中所述的基于多层神经网络的网络应用识别方法，其特征在于，步骤(2b)中所述的13种特征包括：数据包的传输层端口数值，数据包包头的平均长度，数据包包头的最大长度，数据包包头的最小长度，数据包的最大包长，数据包的最小包长，数据包的平均包长，数据包的平均间隔时间，数据包的最大间隔时间，数据包的最小间隔时间，数据包有效载荷的最大长度，数据包有效载荷的最小长度，数据包有效载荷的平均长度。

4.根据权利要求1中所述的基于多层神经网络的网络应用识别方法，其特征在于，步骤(3b)中所述的网络应用类型包括：超文本传输，文件传输，电子邮件，数据库，游戏，多媒体。