[发明专利]结合深度分层网络的网络恶意流量检测方法

权利要求书

1.结合深度分层网络的网络恶意流量检测方法，其特征在于所述方法包括如下步骤：

步骤1，对用户产生的原始流量包进行数据提取，从原始流量包中将具有相同协议类型、源IP、源端口、目的IP、目的端口属性的流量包拆分为一个流，在每个流中提取10个流量包，每个流量包中提取160个字节作为流量包特征，共从每个流中提取1600维特征的原始数据；

步骤2，构建深度分层网络，深度分层网络由Text-CNN网络和Bi-LSTM网络两层网络组成，第一层Text-CNN网络首先将步骤1中提取的流的1600维字节特征转换为40*40灰度图像作为Text-CNN网络输入层的输入，提取流的空间特征，第二层Bi-LSTM网络将Text-CNN模型提取的空间特征重塑为40*40的特征图，提取流的时间特征；

步骤3，将步骤2中的两个网络同时训练成混合网络，添加均方误差损失函数，对混合网络进行训练迭代，使用梯度下降优化算法更新权重和偏差，完成迭代后网络能够自动提取流的时空特征并对流进行分类。

2.根据权利要求1所述的结合深度分层网络的网络恶意流量检测方法，其特征在于：步骤1中对原始流量包进行特征提取，对于每个流量包，从网络层取前20字节,传输层取前20字节，应用层取前120个字节作为流量包特征，如果每层字节数少于要提取的数目，缺少的字节用0填充；若某个流中流量包数目不足10个，用第一个流的特征填充；从每个流中一共提取1600维特征的原始数据。

3.根据权利要求1所述的结合深度分层网络的网络恶意流量检测方法，其特征在于：步骤2中构建的深度分层网络由两层网络构成，第一层Text-CNN网络输出的是1*1600维的空间特征，第二层Bi-LSTM网络将Text-CNN网络输出的1600维空间特征重塑为40*40的特征图，将特征图作为第二层Bi-LSTM网络的输入，提取流的时间特征，Bi-LSTM网络的最后一层全连接层中的神经元数量为11个，与流量分类的类别数量相同，最终深度分层网络输出流量属于每个类的概率。