[发明专利]一种跨多种协议和协议组合的自动化加密流量分析方法

说明书

本发明公开了一种跨多种协议和协议组合的自动化加密流量分析方法，步骤1，将待分类的加密网络应用程序的网络流量进行预处理，得到网络流量数据包；步骤2，获得当前网络流量数据包的语义表示，进行当前网络流量数据包的特征提取；步骤3，构造包含1088个特征的固定长度网络数据包特征向量；步骤4，网络数据包特征导出；步骤5，寻找最优分析模型，选取表现最优的分类模型。与现有技术相比，本发明将机器学习应用于网络流量分析的方法，支持跨多种网络协议和多种网络协议的组合，并支持自定义字段扩展方法。

技术领域

本发明涉及计算机网络和加密网络流量技术领域，特别是涉及一种跨多种协议和协议组合的自动化加密流量分析方法。

背景技术

网络安全中的许多流量分类任务都依赖于机器学习。尽管当前的研究已经非常关注应用于这些任务的机器学习模型以及这些模型的性能，但在实践中，这些任务严重依赖于涉及手动抽取特征以及选择和调整模型管道。特征抽取、模型和模型参数的适当组合通常是一个迭代化过程。事实上将机器学习应用于网络流量分析任务的有效性通常取决于模型本身的特征适当的选择和表示，但这部分过程仍需要大量手工操作并对相关技术人员有着严苛要求。特征抽取任务抽取和模型选择是一个繁复的过程，通常需要相关技术人员运用大量的专业领域知识来设计相关特征，这些特征既可用于测量或派生，又能产生准确的模型。即使技术人员拥有非常专业领域知识，特征探索和抽取在很大程度上仍然是一个低鲁棒性且容易出现失误的过程，因为特征的选择以及如何表示它们会极大地影响模型的准确性。这种手动提取方式可能会忽略潜在或涉及复杂关系(例如，特征之间的非线性关系)的特征。此外，由于交互模式和抽取条件总是会发生变化，相应的渲染模型和手工制作的功能已经被当前技术要求所淘汰。此外，每一项新的网络检测或分类任务都需要重新发明新的一轮技术工具：设计新特征、选择合适的模型以及手动调整新参数。

网络数据包是否可以采用单一标准进行表征，以及如何适用于常见的流量分析任务的自动化方法是本发明亟待解决的技术问题。

发明内容

本发明的目的在于克服现有技术的不足，而提出了一种跨多种协议和协议组合的自动化加密流量分析方法，支持跨多种网络协议和多种网络协议的组合，并支持自定义字段扩展方法而实现了自动化的加密网络流量分析方法。

本发明利用以下技术方案实现：

一种跨多种协议和协议组合的自动化加密流量分析方法，该方法包括以下步骤：

步骤1，将待分类的加密应用程序的网络流量进行预处理，得到网络流量中每个网络流的数据包，具体操作包括：将多个原始网络流量pcap文件根据五元组信息包括源IP地址、目的IP地址、源端口、目的端口和协议，进行网络流量中的网络流划分，得到多个带标签的网络流量数据包，作为步骤2的输入；

步骤2，获得当前网络流量数据包的语义表示，进行当前网络流量数据包的特征提取，具体包括以下处理：

步骤2.1，提取网络数据包的全部IP协议数据包头信息，包括但不限于IP协议号、IP协议选项字段、源IP协议地址和目的IP协议地址；

步骤2.2，提取TCP协议数据包头和UDP协议数据包头的全部特征信息，包括但不限于源端口号和目的端口号；

步骤2.3，提取ICMP协议数据包头的部信息；

步骤3，获得网络数据包特征的二进制表示，构造包含1088个特征的固定长度网络数据包特征向量，具体包括以下步骤：

步骤3.1，将IP协议数据包头的60字节特征全部映射成480个IP协议数据包头特征，每个IP协议数据包头特征分别对应IP协议数据包头的每个字节内的位置信息，将每个字节用8位的二进制表示，每个位置的0和1数值对应到IP协议数据包头的480个特征；