[发明专利]一种基于深度神经网络的流量分类方法、系统及电子设备

权利要求书

1.一种基于深度神经网络的流量分类方法，其特征在于，包括以下步骤：

步骤a：对原始网络流量进行特征提取，生成各种类型的网络流数据，并根据网络日志对网络流数据进行标记，生成用于构建深度神经网络的数据集；其中，所提取的特征包括每条网络流的前向流、反向流、传输流三维特征；

步骤b：重构数据集结构，并通过重构的数据集训练CNN网络，所述CNN网络基于提取的三维特征，分别计算每条网络流中的前向流和反向流特征、前向流和传输流特征、反向流和传输流特征之间的相关系数矩阵，输出高维度的全局卷积特征；

步骤c：将所述CNN网络输出的全局卷积特征输入LSTM网络进行训练，并输出流量分类预测结果。

2.根据权利要求1所述的基于深度神经网络的流量分类方法，其特征在于，所述步骤a还包括：采集原始网络流量，并获取相应的网络日志；其中，所述原始网络流量通过网络数据中心或者模拟局域网环境进行采集，所述网络日志内容包括网络应用间的交互行为、网络应用和服务端的传输负载。

3.根据权利要求2所述的基于深度神经网络的流量分类方法，其特征在于，在所述步骤a中，所述对原始网络流量进行特征提取，生成各种类型的网络流数据，并根据网络日志对网络流数据进行标记具体包括：

步骤a1：将拥有相同的五元组{源IP,源Port,目的IP，目的Port,传输协议(TCP,UDP)}的网络包{packet_1,packet_2,…,packet_n}归并为对应的网络流Flow_i＝{packet_1,packet_2,…,packet_n}(i＝1,2,…,n)；

步骤a2：提取包特征、流特征、状态连接特征，以及每条网络流的{前向流(client-server)，反向流(server-client)，传输流(tcp,udp)}三维特征；

步骤a3：检测网络日志和每条网络流中的{源IP,源Port,目的IP，目的Port,传输协议(TCP,UDP)}五个字段，如果网络流与网络日志中有相同的五元组，则将该条网络流的标签标记为网络日志中对应的网络应用或者协议。

4.根据权利要求1所述的基于深度神经网络的流量分类方法，其特征在于，所述步骤a还包括：对数据集进行预处理及归一化处理。

5.根据权利要求1至4任一项所述的基于深度神经网络的流量分类方法，其特征在于，在所述步骤b中，卷积神经网络的训练过程具体包括：

步骤b1：将标记好的数据集输入卷积神经网络中；

步骤b2：基于提取的三维特征，分别计算每条网络流中的前向流和反向流特征、前向流和传输流特征、反向流和传输流特征之间的相关系数矩阵，生成三维特征的网络流数据集结构；

步骤b3：为了适应卷积神经网的数据输入格式，将数据集格式变换为(None,25,25,3)；其中，变换后的数据格式(None,25,25,3)是25x25的彩色图片3通道；

步骤b4：用变换后的数据集训练卷积神经网络，得到高维度的全局卷积特征。

6.根据权利要求5所述的基于深度神经网络的流量分类方法，其特征在于，在所述步骤b中，所述卷积神经网络包括卷积层、池化层和全连接层；所述卷积层用于提取局部特性；所述池化层用于将卷积之后产生的高维度特征分成几个区域，取每个区域的最大值或者平均值，得到新的较小维特征；所述全连接层用于将所有高维的特征转换成全局特征。

7.根据权利要求5所述的基于深度神经网络的流量分类方法，其特征在于，在所述步骤c中，经过LSTM网络训练后，得到多维的序列相关流向量特征；然后连接全连接层，并用softmax做激活函数，输出预测的每个类的概率矩阵，最终得到流量分类预测结果。

8.根据权利要求7所述的基于深度神经网络的流量分类方法，其特征在于，所述步骤c后还包括：用相同结构的测试数据集评估模型的精确度并测试验证。