[发明专利]基于多特征序列的匿名网络流量分类方法及系统

权利要求书

1.一种基于多特征序列的匿名网络流量分类方法，其特征在于，包括：

步骤S1：采集网络流量文件，提取特征，进行数据归一化和流序列生成；

步骤S2：对提取到的特征进行重要性排序，获取流量序列中最重要的连续性特征对应的特征序列，并转化为频域特征向量；

步骤S3：通过频域特征提取网络将频域特征向量转化为中间特征向量，并将流序列其他特征通过其他特征提取网络转化为中间特征向量；

步骤S4：拼接中间特征向量，通过分类网络后得到不同类别的概率分布。

2.根据权利要求1所述的基于多特征序列的匿名网络流量分类方法，其特征在于，在所述步骤S1中：

步骤S1.1：捕获流经设备的匿名网络流量数据包，捕获的数据包格式为pcap；

步骤S1.2：对采集到的数据集以预设时间跨度进行切割；

步骤S1.3：对所采集到并切割好的pcap文件进行特征提取，输出数据包的流特征值；

步骤S1.4：使用归一化算法将数据统一映射到[0,1]区间，归一化算法公式为：

其中，μ为原始数据均值，σ为标准差，x为原始数据值，z为归一化后的新数据值；

步骤S1.5：选择Z个连续的流数据为一个块进行处理。

3.根据权利要求1所述的基于多特征序列的匿名网络流量分类方法，其特征在于，在所述步骤S2中：

步骤S2.1：对提取出的所有特征进行特征筛选，去除特征包括每个流数据的初始时间戳、最终时间戳、IP和TCP参数，保留预设个特征；

步骤S2.2：对筛选出的特征使用随机森林算法或主成分分析法计算每个特征的重要性，并根据重要性对特征进行排序；选择最重要的预设个特征；

步骤S2.3：对选择的特征，分别记为特征d,e，对Z个连续的流数据，分别构建Z维的特征向量，构建长度为Z的特征序列{d[n]}_0≤n＜N与{e[n]}_0≤n＜N，此处N＝Z；将特征序列转化为频域特征向量，计算公式为：

将变换结果组合为频域特征向量及将频域特征向量分别作为Transformer框架的编码器的输入，输出2个1×n的特征向量，通过MLP映射为2个1×h的特征向量，其中h为自定义参数，拼接为1×2h的中间特征向量a。

4.根据权利要求1所述的基于多特征序列的匿名网络流量分类方法，其特征在于，在所述步骤S3中：

对于未选择的其他特征，选择重要性位于前预设个的特征，对于所述的Z个连续的流数据，构建Z个1×20的向量，通过DNN映射为Z个1×h的向量，拼接后输入均值或最值池化层，得到1×h的中间特征向量b。

5.根据权利要求1所述的基于多特征序列的匿名网络流量分类方法，其特征在于，在所述步骤S4中：

对于输出的中间特征向量a，b，拼接后通过MLP映射为一个1×p最终特征向量，此处p为最终分类的类别数目，接着用softmax函数计算得到概率分布，根据概率分布确定分类结果。

6.一种基于多特征序列的匿名网络流量分类系统，其特征在于，执行权利要求1所述的基于多特征序列的匿名网络流量分类方法，包括：

匿名网络流序列采集及预处理模块：通过数据流采集工具采集流经硬件设备的网络数据流，分割数据流后分析提取出数据流中的特征信息；

特征主成分分析及频域特征提取模块：通过特征选择方法对生成的流量进行特征预处理，对于符合预设标准的时域特征提取频域特征，将提取的频域特征序列，输入编码器获取中间特征向量；

其他特征提取模块：将预设标准以外的其他特征序列分别获取在高维空间中的嵌入，并将嵌入整合为矩阵，输入均值或最值池化层后，将其抽象为一个中间特征向量；

分类结果输出模块：整合中间向量，得到最终分类向量。