[发明专利]一种基于分段熵和时间特征的V2Ray流量识别方法

说明书

本发明提出了一种基于分段熵和时间特征的V2Ray流量识别方法，该方法以网络流量会话中的部分报文序列的信息熵、会话交互的时间差以及其他时间特征作为流量特征，并使用随机森林算法，识别出网络流量中V2Ray的流量。该方法的具体步骤包括模型训练和模型使用两个场景。模型训练时，在可控的网络环境中采集流量；基于指纹识别方法，判断是否使用TLS协议，将网络流量分类为TLS流量和非TLS流量；以流量会话为基本单位，提取部分报文序列的分段熵、会话交互的时间差以及其他时间特征；根据提取的特征，训练随机森林算法分类模型，进而得到V2Ray流量识别预测模型。本发明可用于对网络中V2Ray流量的检测和识别，为流量识别、维护网络安全提供保障。

技术领域

本发明涉及一种基于分段熵和时间特征的V2Ray流量识别方法，属于网络管理技术领域。

背景技术

互联网在近几十年来以令人难以想象的速度发展和扩大，各种类型的网络服务如雨后春笋般涌现。但是由于TCP/IP协议在其设计初期过分强调其开放性和便利性，却没有认真仔细考虑到它的安全性问题，因此协议中存在有诸多的安全漏洞。而随着互联网规模的飞速扩张，各种安全性问题也层出不穷，网络信息安全也自然受到越来越多的关注。如今网络信息安全更是成为了国家安全的重要组成部分，可以说没有网络信息安全就没有国家安全。

网络流量识别作为网络监管的一个重要组成部分，对保障网络信息安全具有重要的意义。但是，随着加密流量的日益普及，这无疑也对网络流量识别带来了巨大的挑战。

虚拟专用网络技术(Virtual Private Network,VPN)使用了隧道技术、加解密技术、身份认证和访问控制等技术，已成为用户最受欢迎的远程访问通信方法之一。近年来逐渐流行的V2Ray，它的抗干扰性更强，且对流量进行混淆加密。基于V2Ray原创的加密传输协议VMess，V2Ray通过不同的传入和传出协议组合，灵活转换通讯格式，使得V2Ray的流量更加难以被识别检测。

虽然V2Ray为用户带来操作便利、隐秘安全、成本低廉的服务，但是V2Ray也混淆隐藏了流量的特征，通用的流量检测方法很难有效检测V2Ray流量，这对监测网络流量、识别和阻止流量中的威胁带来了极大的影响和挑战。因此，V2Ray流量的识别对于保障网络信息安全具有重要意义。

当前，学术界对于VPN的识别和检测已经提出了很多研究方法，但是针对V2Ray流量的识别和检测的准确性并不高，且这些问题均有各自的局限性。

(1)基于网络端口映射方法

基于网络端口映射方法通过将网络流量中端口号与规定使用该端口号的相应网络协议相映射，如：80端口号则映射到HTTP协议。但是互联网数字分配机构(The InternetAssigned Numbers Authority,IANA)并没有为所有应用都定义通信端口号，这也就导致了网络协议和端口号并不总是一一对应。而且网络协议在通信时使用的端口号也并不是固定的。因此，该方法的识别准确率较低。

(2)深度包检测方法

深度包检测方法通过对交互过程中握手协议字段之类的关键特征进行识别分析，以区分加密流量。但是，由于V2Ray软件对流量的加密混淆，DPI经常无法对有效负载进行分析。

(3)基于信息熵方法

基于信息熵方法通过对V2Ray加密报文序列高熵、低熵区域进行划分，并以此作为流量特征。但是该方法对于基于TLS的V2Ray流量的识别准确率较低。

(4)基于深度学习方法

基于深度学习方法将流量数据包输入深度学习模型中进行识别，但是该方法的可解释性较差，且深度学习的训练时间较长。

发明内容