[发明专利]一种以太坊行为流量精细化分类方法

权利要求书

1.一种以太坊行为流量精细化分类方法，其特征在于，包括以下步骤：

(1)设计了以太坊行为流量分割方法，通过RLPx帧头报文和单次行为流量Burst范围确定流量分割位置，实现单条以太坊TCP流中行为流量的分割；

(2)设计了以太坊行为流量精细化分类方法，将相似的Get类行为合并后以机器学习方法进行分类，对粗分类结果通过行为序列化逆推获得行为流量精细化分类结果。

2.根据权利要求1所述的以太坊行为流量精细化分类方法，其特征在于，所述步骤(1)包括以下步骤：

(1.1)由五元组{源IP地址，宿IP地址，源端口，宿端口，协议类型}标记的单条以太坊TCP流，首先通过RLPx帧头数据包，即负载大小为32B的TCP数据包确定每个行为流量的起始位置，转到步骤(1.2)；

(1.2)通过确定每次Burst所包含的数据包的范围，确定行为流量的终止位置，转到(1.3)；

(1.3)将起始位置和终止位置间的流量分割为单次行为流量，若已经到了单条以太坊TCP流的最后位置，行为流量分割结束，否则转到(1.1)。

3.根据权利要求1所述的以太坊行为流量精细化分类方法，其特征在于，步骤(2)具体包括如下子步骤：

(2.1)通过以太坊私有链获取纯净的单类行为流量，通过以太坊行为流量分割方法构建以太坊行为流量数据集，转到(2.2)；

(2.2)对数据集中的四种Get类行为，包括getBlcokHeaders、getBlockBodies、getReceipts和getNodeData合并为Get类，提取特征构建特征向量集合，转到(2.3)；

(2.3)选取机器学习中的随机森林RF方法，以选取的特征向量训练分类模型，转到(2.4)；

(2.4)对于待测以太坊行为流量，使用(2.3)中分类模型进行分类，对于分类结果中Get和Send类行为，按源数据中的时间戳先后信息重新排序，转到(2.5)；

(2.5)剔除排序后的Get行为序列中的无返回数据，即剔除掉没有返回相对应的Send数据的Get行为，转到(2.6)；

(2.6)根据Send行为序列，逆推剔除了无返回数据的Get行为序列中各行为的具体类型，得到行为流量精细化分类结果，流程结束。

4.根据权利要求3所述的以太坊行为流量精细化分类方法，其特征在于，步骤(2.1)具体包括如下子步骤：

(2.1.1)部署节点Node1和节点Node2，通过中间路由器相连，调整初始化difficulty，约12s可以产生一个新区块，设置脚本文件产生新交易，转到(2.1.2)；

(2.1.2)修改Geth工具，初始化私有链，保证单向上单类流量产生时无其他行为流量产生，分割单向行为流量，获取单类行为流量，转到(2.1.3)；

(2.1.3)对每个单类行为的流量，通过以太坊行为流量分割方法分割为单类单次的行为流量，打上相应的行为类型标签，添加至行为流量数据集，若数据集已完全覆盖所有行为，则流量结束，否则转至(2.1.2)。

5.根据权利要求3所述的以太坊行为流量精细化分类方法，其特征在于，步骤(2.4)具体包括如下子步骤：

(2.4.1)设置时间间隔阈值interval_threshold用以判断Get行为是否收到相应返回数据，初始化为第一个Get行为与Send行为间的时间间隔，转到(2.4.2)；

(2.4.2)设置变量S_interval和interval_val，初始化为第一个Get行为与Send行为间的时间间隔的二分之一，转到(2.4.3)；

(2.4.3)对每一个Get行为与Send行为之间的时间间隔interval_i，计算新的S_interval和interval_val，计算公式如下：

interval_val＝0.75*interval_val′+0.25*|S_interval′-intervali|

S_interval＝0.875*S_interval′+0.125*interval

(2.4.4)若一个Get行为和后续的Send行为间没有其他的Get行为时，二者之间是一一对应的，不需要判断Get类行为是否非法，转到(2.4.3)，否则转到(2.4.5)；

(2.4.5)若Get行为与后续的Send行为间的时间间隔超过了interval_threshold，该Get行为无返回数据，若后续还存在待判断行为，转到(2.4.4)，否则流程结束。