[发明专利]一种基于三分类器协同训练学习的网络协议识别方法及系统

摘要

本发明涉及一种基于三分类器协同训练学习的网络协议识别方法及系统对网络原始流量进行IP重组和TCP流还原，将网络数据由包为单位规约为以流为单位；提取每条单向流的特征信息并向量化，构建特征矩阵；使用少量标记样本构建三分类器协同训练分类器；判定是否已有所分析协议的分类模型，如果没有则先利用三分类器协同训练学习方法构建协议分类器，否则对数据包的协议属性进行判别；利用基于J48的三分类器协同训练学习算法进行训练并得到所分析协议的分类模型；对未标识的网络数据包进行协议类别判定，输出结果为两类一类是属于目标协议的网络数据包，另一类是非目标协议的网络数据包。本发明保证很高的识别准确率和召回率。

主权项

一种基于三分类器协同训练学习的网络协议识别方法，其特征在于实现步骤如下：(1)数据包捕获和统计特征提取：以网络数据包作为输入，经过IP重组和TCP流还原将数据包构造为流，然后提取单向网络数据流的特征信息，获得数据包特征向量；(2)分类器存在情况判断：判定是否已有所分析协议的分类模型，如果没有则先利用三分类器协同训练学习方法构建协议分类器，否则对数据包的协议属性进行判别；(3)分类器构建：利用基于J48的三分类器协同训练学习算法对上述单向网络数据流的特征向量进行训练并得到所分析协议的分类模型；(4)协议识别：使用上述分类器对未标记的网络数据测试集进行协议类别判定，输出结果为两类：一类是属于目标协议的网络数据包，另一类是非目标协议的网络数据包；所述步骤(3)分类器构建步骤为：(11)对数据包捕获与统计特征提取步骤得出的单向网络数据流的特征向量集合，采用深度包检测技术，将少量的训练样本进行人工标记，记为X集合，将大量剩余的特征向量记为U集合，然后根据已标记训练样本集合X中少量的已标记样本集x1,x2,x3，分别训练构造SVM分类器f1,f2,f3；(12)利用已构造的SVM分类器f1,f2,f3，对U集合中所有未标记的样本u进行分类；(13)根据分类器f1,f2,f3的分类结果，若两个分类器(f1,f2；f2,f3；f1,f3)对样本u标记相同，则将u连同标记结果加入到第三个分类器的已标记样本集(x3；x1；x2)中；(14)对分类器模型f1，f2,f3进行评估；(15)若达到中止条件r时，则中止，输出经过评估和优化的分类器f，该分类器将应用于协议识别阶段，为后续的测试样本进行高可信度的分类，否则重复步骤(11)‑(14)。