[发明专利]一种基于孪生神经网络的加密流量分类方法

权利要求书

1.一种基于孪生神经网络的加密流量分类方法，其特征在于，包括如下步骤：

1)获取待分类网络流数据，提取待分类网络流数据中数据包的包特征，并进行特征级联，得到包特征向量；

2)将包特征向量输入至训练好的特征处理网络模型中，得到流向量；

所述特征处理网络模型包括k个结构相同的注意力模块、1个致密层和1个全连接层；

所述注意力模块用于对提取的包特征进行深度特征挖掘，第i个注意力模块的输出作为第i+1个注意力模块的输入，1＜i＜k，每个注意力模块均包括依次连接的多头注意力机制单元、第一累加及标准化处理单元、1维CNN单元、第二累加及标准化处理单元，第k个注意力模块的输出作为致密层的输入；

所述致密层用于对第k个注意力模块的输出进行扁平化处理以得到流向量；

所述全连接层用于对流向量进行特征压缩得到输出向量；

3)对比待分类网络流数据的输出向量与各种已知类别网络流数据的输出向量，以计算得到待分类网络流数据分别和各种已知类别之间的距离，从而确定待分类网络流数据是否为未知类网络流数据、或者是否属于某种已知类别。

2.根据权利要求1所述的基于孪生神经网络的加密流量分类方法，其特征在于，步骤2)中，所述第一累加及标准化处理单元包括Resnet和层标准化，所述Resnet对数据包的作用表现为：

式中，为转换矩阵；ReLU为激活函数；为多头注意力机制单元的输出；为Resnet的输出；p_k为包特征向量。

3.根据权利要求1所述的基于孪生神经网络的加密流量分类方法，其特征在于，步骤2)中，所述1维CNN单元的卷积核大小为270，通道数为270。

4.根据权利要求1所述的基于孪生神经网络的加密流量分类方法，其特征在于，k＝2。

5.根据权利要求1所述的基于孪生神经网络的加密流量分类方法，其特征在于，步骤1)中，所述包特征包括位置信息、时间戳、方向、TCP/IP头部关键标志位、以及载荷信息中的至少一种；所述位置信息为数据包在流数据中的序列号；所述时间戳为数据包中的到达时间信息；所述方向为双向流中数据包的方向；所述TCP/TP头部关键标志位为对流量分类有帮助的TCP/TP头部的标志位，包括全长、标志和分片偏移、生存时间、push数据标志、紧急指标有效标志、序列号、紧急指针、窗口大小中的至少一个；所述载荷信息为数据包的有效载荷信息。

6.根据权利要求1所述的基于孪生神经网络的加密流量分类方法，其特征在于，步骤1)中，仅提取待分类网络流数据中三次握手数据包后的前三个数据包的包特征。

7.根据权利要求1所述的基于孪生神经网络的加密流量分类方法，其特征在于，步骤3)中，待分类网络流数据和已知类别之间的距离为待分类网络流数据分别和属于所述已知类别的若干网络流数据的距离的平均值。

8.根据权利要求1所述的基于孪生神经网络的加密流量分类方法，其特征在于，步骤3)中，待分类网络流数据属于某种已知类别的条件为：待分类网络流数据和某种或者某几种已知类别之间的距离小于预定阈值；相应的，将待分类网络流数据归属于距离最小的已知类别；

待分类网络流数据为未知类网络流数据的条件为：待分类网络流数据和所有已知类别之间的距离均不小于预定阈值。

9.根据权利要求7所述的基于孪生神经网络的加密流量分类方法，其特征在于，选取的若干网络流数据的数量为10。

10.根据权利要求7所述的基于孪生神经网络的加密流量分类方法，其特征在于，待分类网络流数据和某一网络流数据的距离为待分类网络流数据的输出向量和某一网络流数据的输出向量的欧几里得距离。