[发明专利]基于自然语言处理的恶意流量检测方法、系统、终端

权利要求书

1.一种基于自然语言处理的恶意流量检测方法，其特征在于，所述基于自然语言处理的恶意流量检测方法包括以下步骤：

利用tshark工具提取pcap包，得到加密流量数据集；

对黑白样本数据分别打上黑白标签；

去除重复数据，打乱样本数据索引；

建立TF-IDF模型，对加密流量数据集进行特征重构；

建立机器学习算法模型，对数据集正负样本进行训练；

采用一维卷积CNN构建深度学习模型；

调节各个模型参数，训练各个模型；

使用ROC曲线和AUC值评估机器学习各个模型，采用TF-IDF和集成学习相结合的方法进行加密恶意流量的检测；

所述建立TF-IDF模型，对加密流量数据集进行特征重构，包括：

(1)在数据集特征处理方面利用文本分类的方法即TF-IDF模型对数据集进行重构，并且建立新的特征；

(2)处理完后将得到新的数据集作为后期机器学习算法模型的输入；

所述机器学习算法包括随机森林RandomForest、AdaBoost、GradientBoost以及所述三个模型与CGB模型的集成学习模型；

所述AdaBoost同属于集成学习的Boosting系列算法，由多个弱学习器组成，采取每次赋予学习器不同权重的方式来调整网络；

所述CNN为包含卷积计算且具有深度结构的前馈神经网络；

使用loss值和accuracy值评估深度学习模型。

2.如权利要求1所述的基于自然语言处理的恶意流量检测方法，其特征在于，所述GradientBoosting属于集成学习的Boosting系列算法；GradientBoosting串行地生成多个弱学习器，每个弱学习器的目标是拟合先前累加模型的损失函数的负梯度，使加上该弱学习器后的累积模型损失往负梯度的方向减少。

3.如权利要求1所述的基于自然语言处理的恶意流量检测方法，其特征在于，所述随机森林是以决策树为基础的一种更高级的算法，由多颗决策树组成且树与树之间互不影响；让决策树随机构建一个森林，每轮结束每棵树都有自己的结果，最终采取投票的方式将得票数最高的类别作为输出结果。

4.一种基于自然语言处理的恶意流量检测系统，其特征在于，所述基于自然语言处理的恶意流量检测系统包括：

加密流量数据集获取模块，用于利用tshark工具提取pcap包，得到加密流量数据集；

黑白标签获取模块，用于对黑白样本数据分别打上黑白标签；

重复数据去除模块，用于去除重复数据，打乱样本数据索引；

特征重构模块，用于建立TF-IDF模型，对加密流量数据集进行特征重构；

正负样本训练模块，用于建立机器学习算法模型，对数据集正负样本进行训练；

深度学习模型构建模块，用于建立深度学习模型，采用一维卷积CNN构建模型；

加密恶意流量检测模块，用于调节各个模型参数，训练各个模型；还用于使用ROC曲线和AUC值评估机器学习各个模型，采用TF-IDF和集成学习相结合的方法进行加密恶意流量的检测；

所述建立TF-IDF模型，对加密流量数据集进行特征重构，包括：

(1)在数据集特征处理方面利用文本分类的方法即TF-IDF模型对数据集进行重构，并且建立新的特征；

(2)处理完后将得到新的数据集作为后期机器学习算法模型的输入；

所述机器学习算法包括随机森林RandomForest、AdaBoost、GradientBoost以及所述三个模型与CGB模型的集成学习模型；

所述AdaBoost同属于集成学习的Boosting系列算法，由多个弱学习器组成，采取每次赋予学习器不同权重的方式来调整网络；

所述CNN为包含卷积计算且具有深度结构的前馈神经网络；

使用loss值和accuracy值评估深度学习模型。

5.一种信息数据处理终端，其特征在于，所述信息数据处理终端包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时，使得所述处理器执行权利要求1～3任意一项所述的基于自然语言处理的恶意流量检测方法。

6.一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时，使得所述处理器执行权利要求1～3任意一项所述的基于自然语言处理的恶意流量检测方法。