[发明专利]一种基于双通道卷积神经网络的加密流量分类方法

摘要

本发明公开了一种基于双通道卷积神经网络的加密流量分类方法，基于网络数据包包头属性和基于时间分段的低阶统计特征两个维度对网络流进行表示，然后通过双通道卷积神经网络，同时从两种网络流表示中学习加密流量特征，实现对加密流量上承载的应用类型进行分类。本发明在不需要专家知识介入的情况下，充分利用数据包头属性和流量统计特征在局部和整体上的优势，自动从两个维度学习流量特征，提高加密网络流量分类精度；且仅利用数据包头部中的字段信息，泛化能力强，不会违背数据的机密性和隐私保护策略。

主权项

1.一种基于双通道卷积神经网络的加密流量分类方法，其特征在于，包括以下步骤：步骤1：对网络流进行预处理，形成基于数据包头属性的流量表示；步骤1.1：以流开始时间、源IP地址、目的IP地址、源端口、目的端口为关键字，对输入数据进行聚合，具有相同关键字的数据包记录被聚合在一个数据集合中，并按照数据包到达时间的先后按顺序排列；聚合后的数据作为一条网络流数据进行处理；步骤1.2：从形成的网络流数据中，选择排在最前面的n个数据包记录，并从每个记录中提取8个属性：包括数据包字节数、数据包到达时间间隔、数据包的方向、SYN标志位值、FIN标志位值、ACK标志位值、PSH标志位值、RST标志位值，形成一个长度为n×8的属性序列；步骤1.3：对形成的n×8的属性序列进行重新编排，转换为n×8的矩阵：每一行表示一个数据包，每一列表示从数据包头部抽取的某一种属性；步骤2：对网络流进行预处理，形成基于时间分段的低阶统计特征的流量表示；步骤2.1：按照等差级数对时间进行分段；假设初始时间段时长为t₀，公差为d，划分的时间段数量为k，则划分时间段的等差级数为t₀,t₀+d,t₀+2d,...,t₀+(k‑1)d，总时长为步骤2.2：计算网络流中的每个数据包的包到达时间与网络流中的第一个数据包的包到达时间的间隔值U＝{u₁,u₂,u₃,…,u_i,...}；对于每个数据包，根据时间间隔u_i的取值，把网络流中前T时长内到达的数据包划分到根据步骤2.1形成不同的时间段中；步骤2.3：计算每个时间段的12个特征：包括发送数据包字节数、接收数据包字节数、发送数据包数量、接收数据包数量、平均数据包到达时间间隔、发送数据包平均到达时间间隔、接收数据包平均到达时间间隔、SYN标志位数量、FIN标志位数量、ACK标志位数量、PSH标志位数量、RST标志位数量，形成一个长度为k×12的属性序列；步骤2.4：对形成的k×12的属性序列进行重新编排，转换为k×12的矩阵：每一行表示一个时间分段，每一列表示从时间段得到的某一个统计特征；k个时间分段按开始时间的先后排序，依次构成矩阵的每一行；步骤3：构建具有两个独立输入通道的基于卷积神经网络的分类模型；基于卷积神经网络的分类模型包括两个输入通道，其中一个输入通道以基于数据包头属性的流量表示作为输入，另一个通道以基于时间分段的低阶统计特征的流量表示为输入；两个通道的网络结构相同，均是由多个卷积层、激活层、池化层构成的卷积神经网络；令第一个通道形成的输出向量为CH1＝(c₁₁,c₁₂,c₁₃,...)，第二个通道形成的输出向量为CH2＝(c₂₁,c₂₂,c₂₃,...)，紧跟着两个通道的是一个拼接层，即将两个通道的输出向量拼接，形成新的输出向量CH，其形式化表达为：CH＝CH1||CH2＝(c₁₁,c₁₂,c₁₃,...,c₂₁,c₂₂,c₂₃,...)，其中，“||”表示向量的连接操作；在拼接层之后是若干全连接层，最后是一个用于输出分类结果的分类器层。