[发明专利]一种基于双阶段判定的加密流量分类方法

权利要求书

1.一种基于双阶段判定的加密流量分类方法，其特征在于，包括以下步骤：

步骤1：生成加密流量样本第一阶段训练集；用户提供加密流量样本集合，集合中的每一个加密流量样本是包含数据包的原始流量文件，且有唯一的加密流量类型标签；将用户提供的d维特征向量，记为元特征向量；根据该特征向量，对每一个加密流量样本进行向量化表示；采用元特征向量对加密流量样本集合向量化表示后，保留每个加密流量样本的加密流量类型标签，得到加密流量样本第一阶段训练集；

步骤2：生成加密流量类型第一阶段判定模型C；以步骤1得到的加密流量样本第一阶段训练集作为输入，训练随机森林分类算法，得到第一阶段判定模型；该判定模型由m棵决策树构成，每一棵决策树均有独立判定结果；该判定模型综合所有决策树的独立判定结果，输出综合判定结果；

步骤3：生成加密流量样本第二阶段训练集；对步骤1的加密流量样本第一阶段训练集中的每一个样本，将步骤2中所有决策树的独立判定结果，作为该样本的k维特征向量，记为复合特征向量；采用复合特征向量对加密流量样本集合向量化表示后，保留每个加密流量样本的加密流量类型标签，得到加密流量样本第二阶段训练集；

步骤4：生成加密流量类型第二阶段判定模型C＇；以步骤3得到的加密流量样本第二阶段训练集作为输入，训练K-最近邻(KNN)分类算法，得到第二阶段判定模型；

步骤5：双阶段判定加密流量样本的加密流量类型；给定任意一个加密流量样本，首先，采用步骤2所得到的加密流量类型第一阶段判定模型生成判定结果；接着，采用步骤4所得到的加密流量类型第二阶段判定模型生成判定结果；比较两次判定结果，若两次判定结果一致，则输出判定结果，且结果与两次判定结果一致；若两次判定结果不同，则不输出判定结果。

2.根据权利要求1所述的一种基于双阶段判定的加密流量分类方法，其特征在于，步骤1中，元特征向量包含d维特征，记为[f₁,f₂,…,f_d]；设总共有p个加密流量样本，第i个加密流量样本的加密流量类型被标定为label_i，则加密流量样本第一阶段训练集记为T，表示如下：

T＝{label₁：[f₁,f₂,…,f_d],label₂：[f₁,f₂,…,f_d],…,label_p：[f₁,f₂,…,f_d]}。

3.根据权利要求1所述的一种基于双阶段判定的加密流量分类方法，其特征在于，步骤3中，复合特征向量包含k维特征，记为[F₁,F₂,…,F_k]；设总共有p个加密流量样本，第i个加密流量样本的加密流量类型被标定为label_i，则加密流量样本第一阶段训练集记为T＇，表示如下：

T＇＝{label₁：[F₁,F₂,…,F_k],label₂：[F₁,F₂,…,F_k],…,label_p：[F₁,F₂,…,F_k]}。