[发明专利]面向类别不平衡下的SSL VPN加密流量识别分类方法

权利要求书

1.一种面向类别不平衡下的SSL VPN加密流量识别分类方法，其特征在于，采用基于改进的C-SMOTE算法，平衡原始数据集，在平衡数据集后进行数据预处理，然后利用基于注意力机制改进的CNN网络流量识别模型，识别分类SSL VPN流量，并用深度可分离卷积替代传统卷积，减少网络参数和计算复杂度。

2.根据权利要求1所述的面向类别不平衡下的SSL VPN加密流量识别分类方法，其特征在于，该方法具体包括以下步骤：

步骤一、获取数据集：捕获网络数据流量，生成会话，通过五元组对网络数据流量过滤分流并获取原始实验数据集；

步骤二、平衡数据集：采用基于改进的C-SMOTE算法，对原始实验数据集进行处理；

步骤三、数据预处理：读取数据流，截取一定长度的字节，并进行归一化处理，然后将SSL VPN流量实验数据集分为训练集和测试集两部分；

步骤四、SSL VPN加密流量识别分类模型：在传统的一维CNN网络流量模型中引入注意力机制，然后用深度可分离卷积替代传统卷积；

步骤五、分类SSL VPN加密流量：将经过步骤三处理后的数据集输入到基于注意力机制改进的CNN网络流量识别模型，识别分类SSL VPN加密流量；

步骤六、对获得的指标结果分析，并选取参数，优化加密流量识别方法。

3.根据权利要求2所述的一种面向类别不平衡下的SSL VPN加密流量识别分类方法，其特征在于，所述步骤一中所述获取数据集的具体内容和方法是：定义TCP流为以握手协议中的SYN标志位开始，并且以FIN标志位或以RST标志位结尾的TCP双向流；定义UDP流为以第一个数据包到达为开始，如果两个数据包到达的时间间隔超过一分钟，则认为数据流结束，新数据流的开始。

4.根据权利要求3所述的一种面向类别不平衡下的SSL VPN加密流量识别分类方法，其特征在于，所述步骤二中平衡数据集的具体内容和过程为：计算原始数据集中每类样本的数量，分离原始实验数据集中的多数类和少数类样本，然后设定多数类样本与少数类样本的比值不大于10，计算出所需生成的少数类样本数量；计算少数类样本的质心；以质心为端点，根据插值的方法生成新样本，重复此过程，直到新生成的少数类样本略多于需要的少数类样本；将包含新生成样本的少数类样本设为S，筛选出边界模糊样本并删除，直至符合设定的少数类样本数量。

5.根据权利要求4所述的一种面向类别不平衡下的SSL VPN加密流量识别分类方法，其特征在于，所述步骤二中，计算少数类样本的质心：设少数类样本的原始样本为：

其中，表示样本x_m的第i个属性，则质心为：

其中，Q为少数类样本的总数，然后根据以下公式生成新的少数类样本：

X_new＝X_j+rand(0,1)*(X_c-X_j)。

6.根据权利要求5所述的一种面向类别不平衡下的SSL VPN加密流量识别分类方法，其特征在于，所述步骤二中，将新生成的样本插入少数类样本集，将包含新生成样本的少数类样本设为集合S，取集合S中一个样本X_s，找距离X_s最近的w个样本，若在这w个样本中，少数类样本的数量小于多数类的数量，则将其视为边界模糊样本并删除，直至集合S的数量符合设定的少数类样本数量。

7.根据权利要求6所述的一种面向类别不平衡下的SSL VPN加密流量识别分类方法，其特征在于，步骤三中所述数据预处理的具体过程为：读取平衡化后数据集中的每条数据流，判断每个数据流的长度是否符合784个字节；如果数据流的长度大于784个字节，则执行截断，如果数据流的长度小于784，则执行零填充；对提取的数据进行归一化处理；将处理好的平衡流量数据集按8：2的比例分为训练集和测试集两部分。