[发明专利]基于流量相似性比对的加密流识别方法、装置及存储介质

权利要求书

1.一种基于流量相似性比对的加密流识别方法，其特征在于，该识别方法包括：

采集网络流量数据，从所述网络流量数据中提取网络数据流，所述网络数据流包括未加密数据流和加密数据流；

提取所述未加密数据流的第一特征和所述加密数据流的第二特征；

将所述未加密数据流和网络日志中已识别网络应用进行匹配，根据匹配结果得到未加密数据标签流；根据所述第一特征和所述第二特征对加密数据流进行聚类处理，根据聚类结果得到加密数据标签流；未加密数据标签流和加密数据标签流形成标签流；

将所述标签流和网络数据流样本进行聚类处理，根据聚类结果获取未加密数据流和加密数据流的相似流；

将所述相似流进行训练得到分类算法模型，根据所述分类算法模型识别所述加密数据流的应用类型。

2.根据权利要求1所述的基于流量相似性比对的加密流识别方法，其特征在于，该识别方法还包括：

对所述未加密数据流和所述加密数据流进行数据清洗操作和归一化处理。

3.根据权利要求1所述的基于流量相似性比对的加密流识别方法，其特征在于，所述“提取所述未加密数据流的第一特征”的步骤包括：

提取每条未加密数据流的信息和相关参数，以形成数据流统计信息；

根据检测到的未加密数据流的数据包参数长度和所述数据流统计信息，提取未加密数据流的特征。

4.根据权利要求1所述的基于流量相似性比对的加密流识别方法，其特征在于，所述“提取所述加密数据流的第二特征”的步骤包括：

提取每个加密数据流的第一个数据包；

根据所述第一个数据包的连接信息提取加密协议特征。

5.根据权利要求1所述的基于流量相似性比对的加密流识别方法，其特征在于，所述“将所述未加密数据流和网络日志中已识别网络应用进行匹配，根据匹配结果得到未加密数据标签流”的步骤包括：

获取未加密数据流的关键信息，所述关键信息包括源IP地址、目的IP地址、源端口号、目的端口号和传输协议类型；

将未加密数据流的关键信息和网络日志中与已识别网络应用关联的IP地址字段、端口字段和传输协议字段进行匹配；

根据匹配结果对所述未加密数据流进行特征标签添加，以得到未加密数据标签流。

6.根据权利要求1所述的基于流量相似性比对的加密流识别方法，其特征在于，所述“根据所述第一特征和所述第二特征对加密数据流进行聚类处理，根据聚类结果得到加密数据标签流”的步骤包括：

从加密数据流中抽取多个数据包；

应用相似流聚类算法，根据所述第一特征和所述第二特征，对加密数据流的多个数据包进行聚类；

根据聚类结果进行特征选择，根据所选择的特征对加密数据流进行特征标签添加，得到加密数据标签流。

7.根据权利要求1所述的基于流量相似性比对的加密流识别方法，其特征在于，所述“将所述标签流和网络数据流样本进行聚类处理，根据聚类结果获取未加密数据流和加密数据流的相似流”的步骤包括：

将所述标签流和样本网络数据流输入至K-means聚类算法；

根据不同k取值迭代计算对应的BIC值，选择最小的BIC值所对应的k取值；

根据第一特征和第二特征进行层次聚类，利用层次聚类结果中每个类的中心点来初始K-means聚类算法的类簇中心点；

计算样本网络数据流和标签流的相似度，根据所述相似度对样本网络数据流和标签流进行关联；计算每条网络数据流到对应类簇中心点的距离，按距离值从小到大进行排序，完成聚类；利用K-近邻算法对每个类簇进行簇内分层，得到多个层次簇类别；计算每个层次簇类别的最大概率估计，并取得该簇中心点，作为原始簇的中心点；重复本步骤，直到层次簇的个数和聚类精度不再变化；

根据聚类结果获取未加密数据流和加密数据流的相似流。