[发明专利]网络流量识别方法、设备及计算机存储介质

说明书

本发明公开了一种网络流量识别方法、设备及介质，该方法包括：预处理采集到的网络数据，提取每一个网络会话的特征信息，生成流量日志；基于流量日志，构建预设时间段内的第一形式流量图；在第一形式流量图中增加构建服务器端节点之间相关性的相关边，生成第二形式流量图；利用第二形式流量图的数据对图神经网络进行训练，生成网络流量识别模型；将未知流量转换为第二形式流量图输入网络流量识别模型；网络流量识别模型将未知流量的第二形式流量图和自身学习到的图模式进行匹配；当匹配程度大于预设阈值时，则判定所述未知流量对应的图模式，从而确定未知流量对应的网络应用。本发明实现构建异构图训练网络流量识别模型判定图模式以及网络应用。

技术领域

本发明涉及计算机网络技术领域，尤其涉及一种网络流量识别方法。

背景技术

流量识别是网络运营商所需的重要技术，它有助于运营商和网络管理者合理调度网络带宽资源，保障用户QoE，提升网络管理水平，改善网络服务质量。随着互联网和在线服务的飞速发展，流量识别越来越重要。

传统的流量识别方法主要是基于端口的检测，然而随着网络技术的发展，网络协议越来越多的采用随机端口号进行通讯。此时另一种方法被提出来，就是深度包检测技术（DPI）。但这种方法的缺点是只能识别已知的协议，需要花费较多的人工去分析协议，并且识别过程需要较大的运算量，对于加密流量无能为力。对于加密流量，基于统计学的方法是目前较为广泛的流量识别方法。这种方法主要研究流量的数据包特征和数据流特征，在提取特征后通过机器学习、模式识别或者深度学习的方法来建模，最后通过模型来完成对未知流量的识别。

在将传统深度学习的技术应用到加密流量检测中时，这两个特点就成为了限制：其一，网络流量及其特征并非天然的存在于欧式空间，因此许多基于卷积神经网络的加密流量检测方法为了将流量特征转化到欧式空间，对这些特征进行了简单的拼接甚至重复，形式上地映射到欧式空间以期卷积神经网络能自动提取其潜在的特征。但是，由于在深度学习中大量采用的卷积操作只能提取欧式空间中每个数据点及其附近的数据点的特征，因此这种方法会受限于特征的排布方式。其二，在实际的网络流量中，同一个网络应用往往产生多个数据流，这些流相互之间有着密切的联系，而深度学习的方法往往将这些流独立看待，期望从这些流本身的字节分布特征和流特征上识别出特定的网络应用，这就忽视了相同网络应用产生的不同数据流之间的联系。

相比于传统的深度学习基于流的加密流量识别的缺陷，考虑多条数据流的关系，综合识别网络应用，有很大的优势，能大大提高识别的性能。而图神经网络更加合适用于面向多条数据流综合关联分析的网络数据流量识别。

发明内容

有鉴于此，提供一种网络流量识别方法，解决网络流量识别正确率低的问题。

本申请实施例提供了一种网络流量识别方法，所述方法包括：

预处理采集到的网络数据，提取每一个网络会话的特征信息，生成流量日志；

基于所述流量日志，构建预设时间段内的第一形式流量图；

在所述第一形式流量图中增加构建服务器端节点之间相关性的相关边，生成第二形式流量图；

利用所述第二形式流量图的数据对图神经网络进行训练，生成网络流量识别模型；

将未知流量转换为第二形式流量图输入所述网络流量识别模型；

所述网络流量识别模型将未知流量的第二形式流量图和自身学习到的图模式进行匹配；

当匹配程度大于预设阈值时，则判定所述未知流量对应的图模式，从而确定未知流量对应的网络应用。

在一实施例中，所述增加构建所述服务器端节点之间相关性的相关边，包括：

根据预设方法计算所有服务器端节点之间的相关性；

基于所述相关性，根据预设条件构建相关边。