[发明专利]基于时空特性相结合的深度学习流量分类方法

摘要

本发明公开了一种基于时空特性相结合的深度学习流量分类方法，主要解决现有技术检测准确率低的问题。其实现方案是：1)采集并标注原始流量负载数据；2)基于原始流量负载数据，生成预处理后的流量图集；3)利用流量图集训练基于时空特性相结合的深度学习模型；4)用新采集并生成的流量数据验证训练好的深度学习模型，合格后将模型作为流量分类器部署于真实网络结点；5)对真实网络环境中的流量进行解析分类并标注。本发明构建的模型利用了流量数据的时空特性，提高了流量分类的准确率，且减少分类器占用的资源，能满足当前网络环境下流量分类的需求，可应用于网络边缘节点中实现加密流量识别和恶意流量检测。

主权项

1.一种基于时空特性相结合的深度学习流量分类方法，其特征在于，包括如下：/n(1)采集并标注原始网络流量负载数据，得到经过标注的网络流量负载数据：/n(1a)从纯净网络节点处采集网络流量负载数据，并将其按照加密流量，未加密流量和恶意访问流量这三类进行分类，其中加密流量按照互联网中六大类应用进行细分标注，即Email、Chat、File、P2P、Streaming、和VoIP；/n(1b)将本次采集的网络流量负载数据、以往时间点数据与预先构建的数据库进行随机混合，得到经过标注的网络流量负载数据库；/n(2)基于经过标注的网络流量负载数据库，生成预处理后的流量图集：/n(2a)将连续的网络流量利用抓包工具切分，以产生pcap格式的数据包，并存储；/n(2b)对数据包进行协议除杂，即删除数据包内能直接反映流量服务类型的TCP协议和DCP协议相关数据，此部分数据在恶意访问流量或加密流量中为干扰项，在深度学习模型中会干扰模型的信息提取；/n(2c)对数据包进行物理信息除杂，即删除物理地址相关信息，以避免深度学习模型误认为物理地址为某种服务相关的识别特征从而产生误分类；/n(2d)删除空白数据包和重复的数据包，以避免对深度学习训练产生干扰；/n(2e)统一数据包流量长度为900字节，即对超过900字节的流量包进行截取，不足900字节的流量包用0x00进行补齐；/n(2f)将统一长度后的数据包做可视化处理，即将每个流量包转换为30*30大小的流量图，并最终将所有处理过的数据包合并为一个流量图集；/n(3)构建依次由第一卷积层、第一局部归一化层、第二卷积层、第二局部归一化层、全连接层、LSTM层和softmax层连接组成的深度学习模型；/n(4)对深度学习模型进行训练：/n(4a)设置训练循环次数R；/n(4b)将混合后的流量图集依次输入到第一卷积层、第一局部归一化层、第二卷积层和第二局部归一化层，以学习流量的空间特性，并对异常值进行归一化处理；/n(4c)将(4b)处理过的数据输入到全连接层中，转换为LSTM模型可以接收的数据形式；/n(4d)将(4c)所得的数据输入到LSTM层中，以学习流量的时间特性；/n(4e)将(4d)所得的数据输入到softmax层，直接输出分类结果，即给出原始网络流量负载数据的标签；/n(4f)根据(4e)得到的标签与训练集中的真实标签差异修改各网络层的权重及偏差；/n(4g)重复(4b)-(4f)，直到达到训练循环次数R，得到一种训练好的深度学习模型；/n(5)对训练好的深度学习模型进行验证与真实网络结点部署：/n(5a)按照真实网络分类的精度需求设置合格率P；/n(5b)按照(1)-(2)的步骤，重新采集原始网络流量负载数据并生成流量图集；/n(5c)将(5b)中生成的流量图集输入训练好的深度学习模型，得到分类结果；/n(5d)将(5c)的分类结果与真实标签进行比较，得到正确样本数，得到深度学习模型分类结果的正确率A：/n若A＞P，即为合格，此时将模型作为流量分类器部署于真实网络结点；/n否则，重新进行步骤(1)-(4)；/n(6)对真实网络中的加密流量进行分类，将经步骤(2)预处理过的真实网络流量图传入流量分类器，将流量分为恶意流量、普通流量和六大类加密流量，并按照分类结果进行标注，针对其中的普通流量，调用DPI工具和端口号，直接标注流量服务类型；/n(7)保存部分采集的数据作为已有数据，用于下时间点对深度学习模型的更新。/n