[发明专利]在多个标签页并发访问场景下的暗网网站识别方法及装置

说明书

本发明公开了在多个标签页并发访问场景下的暗网网站识别方法及装置，其中，该方法包括：获取待识别网站被浏览的网络流量包，并提取网络流量包中的方向序列特征；基于多滑动窗口将方向序列特征划分为多个子序列特征，将多个子序列特征输入神经网络模型提取得到预设模式特征；利用目标网站识别模型对预设模式特征的相关性进行分析，以得到目标网站被访问的概率计算结果；基于概率计算结果和预设的分类模型，得到待识别网站中的目标网站识别结果。本发明能够在混淆的暗网流量中有效提取被访问的暗网网站的关键信息，实现多个标签页的网站准确识别，并且在动态和防御场景下具有较好的鲁棒性。

技术领域

本发明涉暗网流量的网站识别技术领域，特别是涉及在多个标签页并发访问场景下的暗网网站识别方法及装置。

背景技术

网站指纹是网络流量模式的结合，包括访问网站过程中数据包的大小、间隔。通过分析用户浏览网站的流量，甚至是加密的流量，提取出不同网站的指纹，进而可以识别用户浏览的网站。此外，它还可以被应用于监测和打击暗网犯罪。

传统的加密流量网站识别方法主要分为两类：

(1)基于人工提取流量特征的网站识别。这类方法利用人工构造的特征和机器学习算法识别网站，例如k-NN分类器、SVM、随机森林等。这类方法需要专家知识进行特征构造，成本高，且容易被针对性地防御。

(2)自动提取流量特征的网站识别。随着深度学习的兴起，深度学习也被广泛应用于暗网网站识别中。例如基于卷积神经网络可以在基础的原始流量上自动提取有用的特征，准确的识别网站。然而这一类方法在用户打开多个标签页和存在防御流量的噪声时会失效。

针对上述的暗网网站识别方法，各种防御手段被提出，它们的目的是消除特定网站的流量模式从而隐藏网站指纹。BuFLO模拟流量包传输的速率从而干扰识别，然而总的数据量和输入输出流量包数量等其他特征仍可以被现存的网站识别方法利用。Tamaraw和CS-BuFLO将具有相似规模的流量和加入的填充数据包聚合到一个组中，但是它们会在加载网页时产生显著的延迟，不适用于现实世界的部署。针对上述问题，一些轻量的防御方法被提出。WTF-PAD采用适应式的填充机制来减小开销，它只会在通道占用率较低的时候填充数据包。Front在流量序列的头部数据包中进行填充。然而这些防御方法并不能抵御本发明提出的暗网网站识别方法。

为了解决防御的干扰，一系列针对防御场景的暗网网站识别方法被提出。这类方法主要通过加强特征和改进模型提升识别能力，例如在特征中加入时间信息或者使用自注意力机制增强模型能力。

在现实中，更常见的是Tor用户同时打开多个标签页访问暗网，在识别网站时需要分辨混淆的暗网流量，由于Tor用户打开标签页的数量、标签页之间的时间间隔具有动态性，使得解决这一类问题具有挑战性。同时在防御的干扰下，大大提升了多标签暗网网站识别的难度，目前没有研究考虑到该问题。

发明内容

本发明旨在至少在一定程度上解决相关技术中的技术问题之一。

为此，弥补上述现有技术的不足，本发明提出一种多标签页场景下的混淆暗网流量的网站识别方法，在不具备浏览网站数等先验知识的前提下提升网站识别的准确性，更好地适用于真实的用户浏览网站的场景，同时在网站指纹防御的干扰下保证鲁棒性，适用于各类加密流量的网站识别，且具有较小的开销。

本发明地另一个目的在于提出一种在多个标签页并发访问场景下的暗网网站识别装置。

为达上述目的，本发明一方面提出一种在多个标签页并发访问场景下的暗网网站识别方法，包括：

获取待识别网站被浏览的网络流量包，并提取所述网络流量包中的方向序列特征；

基于多滑动窗口将所述方向序列特征划分为多个子序列特征，将所述多个子序列特征输入神经网络模型提取得到预设模式特征；