[发明专利]一种基于图神经网络的网络应用识别方法及装置

权利要求书

1.一种基于图神经网络的网络应用识别方法，其特征在于，包括：

分析网络流量文件中网络流量的传输时序结构，从所述网络流量文件中抽取出链图；

基于图神经网络构建网络应用识别模型；其中，所述网络应用识别模型包括两个SGC网络层；

根据所述链图生成训练数据集，通过所述训练数据集训练所述网络应用识别模型；

将待测试的网络流量文件输入训练后的所述网络应用识别模型，得到网络应用类型。

2.如权利要求1所述的基于图神经网络的网络应用识别方法，其特征在于，所述分析网络流量文件中网络流量的传输时序结构，从所述网络流量文件中抽取出链图，具体为：

对于所述网络流量文件中的每一原始IP报文，以所述原始IP报文作为顶点，根据所述原始IP报文的载荷数据得到所述顶点的特征信息，以邻接的两个所述原始IP报文之间的传输时序作为边，得到顶点集合和边集合；

根据所述顶点集合和所述边集合生成所述链图，并将所述网络流量文件对应的网络应用类型作为所述链图的标签。

3.如权利要求2所述的基于图神经网络的网络应用识别方法，其特征在于，所述根据所述原始IP报文的载荷数据得到所述顶点的特征信息，具体为：

将所述原始IP报文的载荷数据截断或扩充为预设长度的字节向量，以所述字节向量作为所述顶点的特征信息。

4.如权利要求3所述的基于图神经网络的网络应用识别方法，其特征在于，所述预设长度为1500字节。

5.如权利要求2所述的基于图神经网络的网络应用识别方法，其特征在于，所述网络应用识别模型包括依次连接的第一SGC网络层、第二SGC网络层和全连接层。

6.如权利要求5所述的基于图神经网络的网络应用识别方法，其特征在于，

所述第一SGC网络层为

其中，表示所述第一SGC网络层输出的n个特征信息，A表示所述链图的邻接矩阵，a_ij＝1表示所述顶点i与所述顶点j邻接，a_ij＝0表示所述顶点i与所述顶点j不邻接，I是单位矩阵，表示矩阵的顶点度对角矩阵，X表示n个所述顶点的特征信息，X＝[x₁,...,x_n]^T；Θ^(k)表示参数矩阵，k表示所述参数矩阵的索引；

所述第二SGC网络层为

其中，表示所述第二SGC网络层输出的n个特征信息，所述全连接层为

其中，表示所述全连接层输出的网络应用类型，C表示分类数目。

7.如权利要求1所述的基于图神经网络的网络应用识别方法，其特征在于，所述根据所述链图生成训练数据集，通过所述训练数据集训练所述网络应用识别模型，具体为：

根据所述训练数据集的真实网络应用类型和预测网络应用类型，采用逻辑回归损失函数构建最小化多分类损失函数；

采用随机梯度下降SGD算法对所述最小化多分类损失函数进行预设轮数的训练，得到训练后的所述网络应用识别模型的模型参数。

8.如权利要求1所述的基于图神经网络的网络应用识别方法，其特征在于，所述将待测试的网络流量文件输入训练后的所述网络应用识别模型，得到网络应用类型，具体为：

将所述待测试的网络流量文件对应的链图输入训练后的所述网络应用识别模型，得到所述网络应用类型。

9.一种基于图神经网络的网络应用识别装置，其特征在于，包括：

链图抽取模块，用于分析网络流量文件中网络流量的传输时序结构，从所述网络流量文件中抽取出链图；

模型构建模块，用于基于图神经网络构建网络应用识别模型；其中，所述网络应用识别模型包括两个SGC网络层；

模型训练模块，用于根据所述链图生成训练数据集，通过所述训练数据集训练所述网络应用识别模型；

类型识别模块，用于将待测试的网络流量文件输入训练后的所述网络应用识别模型，得到网络应用类型。

10.如权利要求9所述的基于图神经网络的网络应用识别装置，其特征在于，所述分析网络流量文件中网络流量的传输时序结构，从所述网络流量文件中抽取出链图，具体为：

对于所述网络流量文件中的每一原始IP报文，以所述原始IP报文作为顶点，根据所述原始IP报文的载荷数据得到所述顶点的特征信息，以邻接的两个所述原始IP报文之间的传输时序作为边，得到顶点集合和边集合；

根据所述顶点集合和所述边集合生成所述链图，并将所述网络流量文件对应的网络应用类型作为所述链图的标签。