[发明专利]一种基于生成对抗网络的应用加密流量生成方法及系统

说明书

本发明公开了一种基于生成对抗网络的应用加密流量生成方法及系统，将真实应用的加密流量包(包括数据包头部)，提取成十进制数据并截取至定长(不足位用0补齐)，用逗号分隔，每一行是一条流量数据，将其送入生成对抗网络(GAN)进行特征提取，等GAN网络的生成器和判别器趋于稳定后。将少量真实应用的加密流量输入GAN的生成器，即可生成任意条数的包含该应用流量特征的加密流量。该方法通过GAN巧妙的将加密流量中的特征抽象出来，不需要对流量本身进行解密，减少了解密的工作的同时有效的保护了用户隐私并大大降低了获取样本的成本。本方法适用于所有基于深度学习的加密流量识别场景中加密流量样本少获取困难导致识别率低的场景。

技术领域

本发明涉及一种基于生成对抗网络(GAN)的应用加密流量生成方法，属于数据加密技术领域。

背景技术

流量分类与识别是提升网络管理与安全监测水平，改善服务质量的基础，也是网络设计与规划等网络行为的前提。随着用户隐私保护和安全意识的增强，SSL、SSH、VPN等技术得到了越来越广泛地应用，导致加密流量在网路传输中的比重越来越高。

因采用应用层加密，传统的端口匹配、DPI已经无法准确识别应用流量；相比于机器学习，深度学习能较好的表达数据的本质特征，但其训练时依赖大量有标记的样本，样本的准确性直接导致训练结果的识别率。

生成对抗网络(GAN)算法的主要思想是利用生成网络和判别网络这两个网络，通过一个极小极大的博弈来收敛到最优解。GAN在图像、声音和文本的生成方面展示了其巨大优势。为了学习生成器G(z)的分布，预先定义了输入噪声变量p_z(z)同时定义了判别器的分布D(x)，其表示x来自于真实数据p_data(x)而不是G(z)的概率。通过训练判别器D，使其尽可能的从真实样本和生成器G生成的样本中区分出真实样本的概率，使log(1-D(G(z)))最小。综上所述，D和G使用值函数V(D,G)进行了如下的两人极大极小博弈，即GAN的损失如下式(1)所示：

生成器G以随机噪声为输入，生成样本。判别器D同时接受来自生成器和真实样本的数据，并尝试区分这两种数据。这两个网络在进行一场博弈游戏，生成器G不断学习生成更加真实的样本，判别器D不断学习更好区分生成样本和真实样本。这两个网络是同时训练的，期望这种博弈能使生成的样本和真实样本难以区分。生成器G的输出是一个合成的样本X_fake＝G(z)。判别器D接收来自生成器的合成样本或真实数据样本，输出为可能源的概率分布P(F|X)＝D(X)如等式(2)所示。判别器被训练使logD(x)最大化，同时训练生成器G使等式中的log(1-D(G(z)))最小化。

L＝E[logP(F＝real|X_real)]+E[logP(F＝fake|X_fake)] (2)

判别器的损失logD(x)生成器的损失log(1-D(G(z)))

关于训练：

每一轮训练包含两个部分minG和maxD,

训练判别器：

首先看一下maxD部分，训练一般是先保持G(生成器)不变训练D的。D的训练目标是正确区分fake/true，如果我们以1/0代表true/fake，则对第一项E因为输入采样自真实数据所以我们期望D(x)趋近于1，也就是第一项更大。而z是随机的输入，G(z)表示生成的样本，对于生成的样本，我们希望判别器的判别结果D(G(z))越接近于0越好，也就是让总数值最大，也就是maxD的含义了。

训练生成器：