[发明专利]一种流量检测方法、装置、设备及介质

权利要求书

1.一种流量检测方法，其特征在于，所述方法包括：

对网络流量进行实时抓取，将每个抓取到的流量包输入至流量管道；

对从所述流量管道中提取抓获的流量包进行分段，将分段后的通信流输入至通信流管道；

对所述通信流管道中的通信流进行特征提取得到特征数据；

对所述特征数据进行流量检测分类模型训练得到最终的流量检测分类模型；

对所述特征数据进行流量检测分类模型训练得到最终的流量检测分类模型具体包括：

对所述特征数据结合动态更新进行流量检测分类模型训练；

得到最终的流量检测分类模型；

所述动态更新的过程具体为：

对更新数据集进行数据采样获得未标注数据集；

利用未更新的上一模型进行预测，得到预测标签和置信度数据；

选择其他模型预测结果相同并且置信度大于预设阈值的样本与上一模型的训练数据结合获得当前模型的训练数据；

对数据结合后的模型进行模型训练并获取新得到的模型的置信度数据；

对所述新得到的模型的置信度数据与未更新的上一模型的置信度数据进行比较，选取较优的模型为动态更新后的模型；

利用所述流量检测分类模型进行流量检测。

2.根据权利要求1所述的方法，其特征在于，所述特征提取的过程具体包括：

对每一段通信流，对其在整个通信周期内的TCP层特征、TLS握手阶段的加密套件特征以及TLS证书特征共计三类特征进行特征提取。

3.根据权利要求2所述的方法，其特征在于，所述TCP层特征具体包括：

标识符特征、TCP通信特征、流量包特征、通信流特征。

4.根据权利要求1所述的方法，其特征在于，还包括：

对分类模型进行初始化处理得到最初的分类模型。

5.根据权利要求4所述的方法，其特征在于，所述对分类模型进行初始化处理得到最初的分类模型具体包括：

对所有已标记流量，根据通信双方IP地址、端口号以及通信标识符进行分段，对于单次通信中没有FIN标识符或者RST标识符通信结束标识符的流量，保留至其他流量处理完毕后进行提取；

对每一段通信流，通过特征提取模块提取TCP层特征、TLS握手阶段的加密套件特征以及TLS证书特征共计三类特征；

对每一类特征，结合对应标签通过模型初始化模块训练得到初始化的融合分类器。

6.一种流量检测装置，其特征在于，包括：

特征提取模块，用于对通信流管道中的通信流进行特征提取得到特征数据；

模型训练模块，用于对所述特征数据进行流量检测分类模型训练得到最终的流量检测分类模型；

模型训练模块具体用于：

对所述特征数据结合动态更新进行流量检测分类模型训练；

得到最终的流量检测分类模型；

所述动态更新的过程具体为：

对更新数据集进行数据采样获得未标注数据集；

利用未更新的上一模型进行预测，得到预测标签和置信度数据；

选择其他模型预测结果相同并且置信度大于预设阈值的样本与上一模型的训练数据结合获得当前模型的训练数据；

对数据结合后的模型进行模型训练并获取新得到的模型的置信度数据；

对所述新得到的模型的置信度数据与未更新的上一模型的置信度数据进行比较，选取较优的模型为动态更新后的模型；

实时检测模块，用于对网络流量进行实时抓取，将每个抓取到的流量包输入至流量管道，以及，

对从所述流量管道中提取抓获的流量包进行分段，将分段后的通信流输入至通信流管道。

7.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，处理器执行计算机程序时实现权利要求1～5任一项中所述的流量检测方法对应的步骤。

8.一种计算机存储介质，其上存储有计算机程序指令，其特征在于，所述程序指令被处理器执行时用于实现权利要求1～5任一项中所述的流量检测方法对应的步骤。