[发明专利]一种基于时序特征的加密流量异常检测方法

权利要求书

1.一种基于时序特征的加密流量异常检测方法，其特征在于，该方法包括以下步骤：

(1)将流量以会话的形式进行表示，会话的集合为S＝{s_i|i＝1,2,…,N}；其中每一条会话为s_i＝{p_j|j＝1,2,…,M}，p_j为第j个的数据包，M为会话中包含数据包的数量。

(2)设长短期记忆自动编码器ξ的时间序列长度为L，则对于M大于等于L的会话，可以只取前L个数据包；对于M小于L的会话，可以在会话后面添加L-M个四元组全部赋0的数据包。

(3)将步骤(2)处理后的流量中的所有会话作为训练集，使用Adam优化算法对长短期记忆自动编码器ξ进行训练，得到训练完毕的模型ξ’。

(4)将步骤(2)处理后的会话集合S输入步骤(3)训练完毕的模型ξ’，则X＝{x_i|i＝1,2,…,N}为ξ’中隐藏层的输出，即为提取出的时序特征信息。

(5)求出X的均值mean以及标准差std，设格鲁布斯检验法的显著性等级为α；

(6)对于步骤(2)处理后的会话s_i，利用公式求出其统计量

(7)查询格鲁布斯表，得到临界值G_α，若G_α＜G_i，则判定s_i为异常流量；若G_α≥G_i，则判定s_i为正常流量。

2.如权利要求1所述基于时序特征的加密流量异常检测方法，其特征在于，所述数据包由四元组PktInBytes,PktOutBytes,PktInInterval,PktOutInterval表示，分别代表流入数据包比特数、流出数据包比特数、流入数据包时间间隔、流出数据包时间间隔等。

3.如权利要求2所述基于时序特征的加密流量异常检测方法，其特征在于，所述步骤(1)中，所述四元组由dpkt工具提取。

4.如权利要求1所述基于时序特征的加密流量异常检测方法，其特征在于，所述步骤(2)中，所述长短期记忆自动编码器ξ由Keras库构建。

5.如权利要求1所述基于时序特征的加密流量异常检测方法，其特征在于，所述步骤(5)中，所述显著性等级α为0.05。