[发明专利]一种基于密度数据描述的SSL VPN流量识别方法

说明书

本发明属于网络数据处理技术领域，涉及SSL VPN流量识别方法。一种基于密度数据描述的SSL VPN流量识别方法，包括：从网络流量中抓取使用SSL协议来保证安全传输的流量；将抓取到的SSL流量进行特征提取；以基于密度描述的SSL VPN的数据描述域作为判别依据，对提取到的特征向量进行分类判别，如果落在数据描述域内，则认为是SSL VPN流量，否则认为是普通的SSL流量。本发明的基于密度数据描述的SSL VPN流量识别方法，可以将SSL VPN流量转换成特征向量，由提出了一种的基于密度的数据描述，可以基于密度找到数据描述域，用于对SSL VPN流量进行分类。

技术领域

本发明属于网络数据处理技术领域，涉及SSL VPN流量识别方法。

背景技术

随着大数据时代的到来，数据的采集也变得越来越方便，当数据采集完成之后，如何从数据中获取需要的信息成了新的挑战。分类问题作为机器学习的一个重要类别，基于已有的数据构建模型，进而对获取到未知类别数据的所属类别进行判断。但是分类需要的带标签的训练数据的获取并不容易，如VPN流量，往往可以通过多种方法获取带标签的VPN流量，而非VPN流量种类繁多，通常获取的反例集很难囊括所有的非VPN的流量种类。这种情况下可以用于训练的有标签的数据只有一类。

目前，针对这种仅可获得单类数据的情况，学者们也提出了相应的分类模型，其中使用最为广泛的就是One-Class SVM和SVDD。One-Class SVM的核心思想将坐标原点作为奇异点，找到超平面使得单类数据集与坐标原点分别落于超平面的两侧，同时使得坐标原点于超平面的距离尽可能的大，预测时将与训练样本落于同一侧的数据认为是目标类的数据，否则认为不是目标类的数据。SVDD则是通过核函数将原始样本映射到高维空间，在高维空间中寻找一个包含大部分数据的超球体，同时使得超球体的体积尽可能的小，进行预测时，认为落于超球内的数据为目标类的数据，否则不是。这两种算法被证明在处理单分类问题上效果相似。

还有一些学者将单分类问题作为异常检测问题来处理，将非目标类的数据作为异常点。应用比较广泛的有孤立森林(Isolation Forest)，构造孤立树时，会随机选取一个特征，在该特征的取值范围中随机选择一个值划分数据集，迭代多轮，直到叶节点中只有一个数据点，就得到一个孤立树(Isolation Tree)，同时构建多棵孤立树得到孤立森林。由于异常值是离群点，所以会比较快的划分到叶子节点；而非离群点往往需要经过更多次划分才能落到叶节点。可以通过叶节点和根节点的路径长度来判断是否为异常点。

VPN是在公共网络上建立专用网络，进行通信加密。所以，VPN流量必然涵盖多种类型流量，获得的VPN数据集内部通常含有多个类簇，所以，如何将 VPN流量数据进行分类、识别，获取需要的信息显得非常必要。

发明内容

为了解决VPN流量识别问题，本发明提出了基于密度数据描述的SSL VPN 流量识别方法。该方法从VPN流量数据的内部分布出发，划分数据描述域，从而实现VPN流量识别。

本发明解决其技术问题采用的技术方案是：一种基于密度数据描述的SSL VPN流量识别方法，包括：

从网络流量中抓取使用SSL协议来保证安全传输的流量；

将抓取到的SSL流量进行特征提取；

以基于密度描述的SSL VPN的数据描述域作为判别依据，对提取到的特征向量进行分类判别，如果落在数据描述域内，则认为是SSL VPN流量，否则认为是普通的SSL流量。

进一步的，所述基于密度描述的SSL VPN的数据描述域的获取方法为：

构建SSL VPN流量数据密度描述模型函数；

对所述的模型函数进行初步训练，得到一个密度最大的超球；

对所述的模型函数进行进一步训练，将散落在密度最大的超球面外的数据点重新划分数据描述域，得到多个超球面；