[发明专利]一种加密流量分类方法、系统、设备及可读存储介质

权利要求书

1.一种加密流量分类方法，其特征在于，包括以下步骤：

S1，采用袋外数据对预训练模型的模型特征进行重要性度量，得到模型特征重要性排序，取模型特征排序结果效果最好的前UN个模型特征作为预训练模型的有效特征；具体包括以下步骤：

预训练模型具体通过以下方法获得：

a、采集加密流量样本集合，加密流量样本集合中的每一个加密流量样本为原始流量文件；对原始流量文件进行预处理，分离匿名代理工具产生的流量，筛选有效流，统一流量方向，得到加密流量序列；

b、根据加密流量获取被动探测特征和主动探测特征，利用获取的被动探测特征和主动探测特征对随机森林模型进行训练，得到预训练模型；

被动探测特征包括基础特征N、时间维度特征、空间维度特征、首荷载包的ASCII码均值特征和首段数据包荷载分布特征四种衍生特征；

主动探测特征包括远程主机的whois信息和端口信息；根据数据包的远程主机IP地址对远程主机进行扫描得到用于加密流量分类器模型训练的主动探测特征；

S2，利用有效特征对预训练模型进行优化训练，得到最终的加密流量分类器模型，利用加密流量分类器模型进行加密流量的分类。

2.根据权利要求1所述的一种加密流量分类方法，其特征在于，预训练模型采用样本集合进行预训练。

3.根据权利要求1所述的一种加密流量分类方法，其特征在于，原始流量文件包括数据包和唯一的加密流量类型标签，加密流量序列包括服务器地址、目标端口号、传输所用的协议号、流量起止时间、流量上下行字节数和上下行数据包的数目。

4.根据权利要求1所述的一种加密流量分类方法，其特征在于，以得到的加密流量样本的有效特征序列作为输入，训练随机森林分类模型得到最终分类模型；将待分类的加密流量数据进行预处理得到待分类加密流量序列，将待分类的加密流量数据和待分类加密流量序列输入最终分类模型中，加密流量分类器模型综合所有决策树的独立判定结果输出综合判定结果。

5.一种加密流量分类系统，其特征在于，包括预训练模块和分类器模块，

预训练模块用于存储预训练模型，并根据袋外数据对预训练模型的模型特征进行重要性度量，得到模型特征重要性排序，取模型特征排序结果效果最好的前UN个模型特征作为预训练模型的有效特征，利用有效特征对预训练模型进行优化训练，得到最终的加密流量分类器模型输送到分类器模块中；

预训练模型具体通过以下方法获得：

a、采集加密流量样本集合，加密流量样本集合中的每一个加密流量样本为原始流量文件；对原始流量文件进行预处理，分离匿名代理工具产生的流量，筛选有效流，统一流量方向，得到加密流量序列；

b、根据加密流量获取被动探测特征和主动探测特征，利用获取的被动探测特征和主动探测特征对随机森林模型进行训练，得到预训练模型；

被动探测特征包括基础特征N、时间维度特征、空间维度特征、首荷载包的ASCII码均值特征和首段数据包荷载分布特征四种衍生特征；

主动探测特征包括远程主机的whois信息和端口信息；根据数据包的远程主机IP地址对远程主机进行扫描得到用于加密流量分类器模型训练的主动探测特征；

分类器模块根据最终的加密流量分类器模型对输入的加密流量数据进行分类并输出分类结果。

6.一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至4任一项所述方法的步骤。

7.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至4任一项所述方法的步骤。