[发明专利]基于嵌套式深度孪生神经网络的移动端用户行为检测方法

权利要求书

1.基于嵌套式深度孪生神经网络的移动端用户行为检测方法，其特征在于，包括以下步骤：

S1、采集移动端用户n*m个行为的M个纯净流量包和M个真实流量包；其中，所述步骤S1包括以下分步骤：

S1.1、在移动端上安装待采集流量的n个APP，采集时单独运行一个APP，并在其每一个操作时，采集一个纯净流量包；

S1.2、采集n个APP的m个操作，得到移动端用户n*m个行为的纯净流量包；

S1.3、重复M次步骤S1.2，得到移动端用户n*m个行为的M个纯净流量包；

S1.4、在移动端上安装待采集流量的n个APP和若干日常APP，同时运行多个APP，采集n个APP的m个操作，每个操作采集一个真实流量包，得到移动端用户n*m个行为的真实流量包；

S1.5、重复M次步骤S1.4，得到移动端用户n*m个行为的M个真实流量包；

S2、将纯净流量包和真实流量包进行配对，构建训练数据；

S3、提取训练数据中纯净流量包和真实流量包的大小，将纯净流量包和真实流量包的大小作为其第一特征；

S4、将纯净流量包和真实流量包的第一特征进行对10取模运算，得到纯净流量包和真实流量包的第二特征；

S5、将流入移动端的纯净流量包和真实流量包的第二特征用正数表示方向，将流出移动端的纯净流量包和真实流量包的第二特征用负数表示方向；

S6、根据纯净流量包和真实流量包中的信息，对纯净流量包和真实流量包进行重新排列，并滤除干扰纯净流量包和干扰真实流量包；

其中，所述纯净流量包和真实流量包的构成相同，均包括五元组、流量包产生时间和流量包大小；所述五元组包括源IP地址、目的IP地址、源端口号、目的端口号和协议名；

具体的，所述步骤S6包括以下分步骤：

S6.1、将具有相同五元组的纯净流量包相邻排列，将具有相同五元组的真实流量相邻排列；

S6.2、根据分组过后的纯净流量包和真实流量包，将协议名不是TCP、SSL、SSLv2和TLSv1.2的纯净流量包和真实流量包滤除，完成干扰纯净流量包和干扰真实流量包的滤除；

S7、构建嵌套式深度孪生神经网络，并根据训练数据对其进行训练；

S8、将待检测的真实流量包输入训练完成的嵌套式深度孪生神经网络，通过嵌套式深度孪生神经网络检验真实流量包中包含的与纯净流量包相同的行为模式，得到移动端用户行为的识别结果。

2.根据权利要求1所述的基于嵌套式深度孪生神经网络的移动端用户行为检测方法，其特征在于，所述步骤S2包括以下分步骤：

S2.1、将同一APP的同一操作的纯净流量包和真实流量包进行配对；

S2.2、根据配对结果，构造训练数据。

3.根据权利要求2所述的基于嵌套式深度孪生神经网络的移动端用户行为检测方法，其特征在于，所述训练数据获取的具体方法为：将同一操作的1个真实流量包与2个纯净流量包进行组合，遍历每一个真实流量包，得到若干训练数据；

所述训练数据格式为：(真实流量包，第一纯净流量包，第二纯净流量包)。