[发明专利]基于CNN和XGBoost的网络流量异常行为检测方法

权利要求书

1.基于CNN和XGBoost的网络流量异常行为检测方法，其特征在于：包括以下步骤：

S1：使用抓包函数或者抓包工具抓取网卡或者其他端口的流量数据；

S2：使用工具对流量数据文件进行切分，获得flow；

S3：对切分后的流量数据进行清洗，删除重复冗余向项和空数据；

S4：修整flow，使所有flow字节长度统一；

S5：对于flow，把每个字节看作一个像素值，实现flow数据图像化；

S6：使用卷积神经网络提取flow灰度图的特征；

S7：对CNN网络提取出的特征使用xgboost算法进行分类，实现对异常流量的分类和检测。

2.根据权利要求1所述的基于CNN和XGBoost的网络流量异常行为检测方法，其特征在于：S1中，所述的抓取是使用wireshark工具或者python的scapy或dpkt库函数实现对流量数据包的嗅探抓取。

3.根据权利要求1所述的基于CNN和XGBoost的网络流量异常行为检测方法，其特征在于：S2中，所述的进行切分是采用splitcap、pkt2flow按照五元组的方式对pcap流量数据文件进行切分，获得flow或session。

4.根据权利要求3所述的基于CNN和XGBoost的网络流量异常行为检测方法，其特征在于：所述的五元组是指源IP地址、目的IP地址、协议号、源端口、目的端口。

5.根据权利要求1所述的基于CNN和XGBoost的网络流量异常行为检测方法，其特征在于：S3中，所述的流量数据中，对样本数目偏多的类别进行降采样。

6.根据权利要求1所述的基于CNN和XGBoost的网络流量异常行为检测方法，其特征在于：S5中，以文本文件的方式读取每一条所述的flow，取n²个字节成n²的数组，将数组resize成n×n，使用PIL库函数转换成n×n的flow灰度图像。

7.根据权利要求1所述的基于CNN和XGBoost的网络流量异常行为检测方法，其特征在于：S6中，所述的提取flow灰度图的特征是统计数据集的样本分布，判断是否存在严重的数据不平衡，若有使用smote或adasyn方法对样本较少的类别过采样，在经典的卷积神经网络结构LeNet5的基础上实现CNN网络提取flow灰度图特征，在CNN训练过程中采用focal loss损失函数。

8.根据权利要求1所述的基于CNN和XGBoost的网络流量异常行为检测方法，其特征在于：S7中，在所述的CNN训练结束后，计算保存学习出的特征，使用xgboost算法对学得的特征进行分类，再对结果分析评估。

9.根据权利要求7所述的基于CNN和XGBoost的网络流量异常行为检测方法，其特征在于：所述的损失函数为：

其中x是输入，class是输入的标签，α_class是平衡超参数，γ是衰减超参数；

即标签为class的类别softmax分类输出的概率。