[发明专利]一种基于深度学习的加密流量识别方法及电子装置

权利要求书

1.一种基于深度学习的加密流量识别方法，其步骤包括：

1）收集网络中的若干TLS流，获取每一TLS流中的ClientHello报文整数序列、ServerHello报文整数序列、end-entity certificate整数序列及前n个TLS应用数据报文组成的序列，n≥1；

2）提取ClientHello报文特征、ServerHello报文特征、end-entity certificate特征及序列特征，计算若干TLS流的时间相关性，得到流特征，其中序列特征由前n个TLS应用数据报文的长度组成；

3）将流特征输入一加密流量分类器进行分类，根据加密流量分类器输出的各数据来源预测概率值，获取产生若干TLS流的数据来源；

通过以下步骤训练所述加密流量分类器：

a）对各样本数据来源产生的若干样本TLS流赋予相应标签，并获取每一样本TLS流中的样本ClientHello报文整数序列、样本ServerHello报文整数序列、样本end-entitycertificate整数序列及每一样本数据来源的前n个TLS应用数据报文组成的样本序列；

b）提取样本ClientHello报文特征、样本ServerHello报文特征、样本end-entitycertificate特征及样本序列特征，计算各样本数据来源产生的样本TLS流时间相关性，得到每一样本数据来源的样本TLS流流特征，其中样本序列特征由每一样本数据来源的前n个TLS应用数据报文的长度组成；

c）将各样本TLS流流特征输入一分类器进行训练，得到所述加密流量分类器。

2.如权利要求1所述的方法，其特征在于，通过wireshark收集网络中的若干TLS流；所述数据来源包括APP。

3.如权利要求1所述的方法，其特征在于，通过以下步骤提取每一TLS流中的ClientHello报文整数序列、ServerHello报文整数序列与end-entity certificate整数序列：

1）提取每一TLS流中的ClientHello报文、ServerHello报文与end-entitycertificate；

2）ClientHello报文、ServerHello报文与end-entity certificate按照2-byte长度进行切分，分别转化为指定长度为x、y、z的整数序列，其中每一2-byte的块转换为整数p，p∈[1,65536]；

3）截断超过指定长度的整数，对不足指定长度整数序列的后面补0。

4.如权利要求1所述的方法，其特征在于，分别将ClientHello报文特征、ServerHello报文特征与end-entity certificate特征输入由一embedding层、一1D-CNN层、globalmax-pooling层和一全连接层组成的报文特征提取器，得到ClientHello报文特征、ServerHello报文特征与end-entity certificate特征。

5.如权利要求1所述的方法，其特征在于，1D-CNN使用两种核提取特征构成双通道。

6.如权利要求1所述的方法，其特征在于，将前n个TLS应用数据报文组成的序列输入一embedding层，得到与ClientHello报文特征、ServerHello报文特征及end-entitycertificate特征维度相同的序列特征。

7.如权利要求1所述的方法，其特征在于，将ClientHello报文特征、ServerHello报文特征、end-entity certificate特征及序列特征输入一双向GRU网络，得到流特征。

8.如权利要求1所述的方法，其特征在于，将流特征输入分类器前，将流特征输入一单层全连接网络进行降维；分类器包括softmax函数。