[发明专利]一种基于消息大小分析的应用流量识别方法

权利要求书

1.一种基于消息大小的应用流量识别方法，其特征在于：包括以下步骤：

步骤1，从局域网络环境中选取数据流提取消息；

步骤2，将消息进行预处理；

步骤3，用卷积神经网络提取数据流中的消息的特征；

步骤4，生成消息大小特征；

步骤5，通过LSTM编码特征矢量来获取流中消息的上下文信息；

步骤6，引入注意机制；

步骤7，应用流量识别；

所述步骤3用卷积神经网络提取数据流中的消息的特征的具体操作为：

所提出的特征提取器由一系列带有128个核尺寸为3的滤波器的一维卷积层组成，通过多层连续卷积从所得到的消息中迭代提取消息数据的局部语义，卷积运算为：其中，代表卷积层提取到的维度较高的特征，σ为激活函数，x_j代表嵌入数据第j个重叠模块，wⁱ代表第i个卷积过滤器，where x_j∈X^8×m表示X来自经过预处理的嵌入数据第j个重叠模块，第i个特征映射的第j列，卷积层的输出由线性整流层的活性化函数进行激活，为了降低卷积后的维度，还执行了大小为2的池化层；

所述步骤7应用流量识别的具体操作为：通过给定的矢量f，训练出一个二进制分类器进行应用流量识别；使用一个完全连接层来额外压缩注意力层的输出；加入另一个具有softmax函数的全连通层来计算条件概率分布，进行分类完成识别。

2.根据权利要求1所述的一种基于消息大小的应用流量识别方法，其特征在于：所述步骤1从局域网络环境中选取数据流提取消息的具体操作为：不同应用之间的流量交互所发送的数据流长度不同，聚合消息数据的大小差异非常大，截取长度为m比特大小的流，提取流中完整的消息。

3.根据权利要求1所述的一种基于消息大小的应用流量识别方法，其特征在于：所述步骤2将消息进行预处理的具体操作为：将提取所得消息的每一字节根据每一消息的二进制表示，嵌入到一个8维向量中，嵌入后的数据表示为X^8×m。

4.根据权利要求1所述的一种基于消息大小的应用流量识别方法，其特征在于：所述步骤4生成消息大小特征的具体操作为：为了避免过拟合的问题出现，对第三个卷积神经网络层的输出做平坦化处理；在步骤3的基础上，加入256个具有全连接层的神经细胞；每一段流量中的消息大小都有一个特征矢量V与之对应。

5.根据权利要求1所述的一种基于消息大小的应用流量识别方法，其特征在于：所述步骤5通过LSTM编码特征矢量来获取流中消息的上下文信息的具体操作为：通过LSTM递归神经网络编码特征矢量V，编码后输出结果；

其中LSTM(V_i)表示使用LSTM处理特征矢量V_i，n表示多个网络数据流，h_i表示用LSTM编码后的输出结果。

6.根据权利要求1所述的一种基于消息大小的应用流量识别方法，其特征在于：所述步骤6引入注意机制的具体操作为：将每个流中重要的消息大小特征加权表示，其重要性权重表示为α_i；

引入注意机制，将输出结果h_i来生成重要性流矢量，再对重要性权重α_i进行标准化训练，最后生成流的矢量f，

u_i＝tanh(W_th_i+b_t)

其中，W_t为权重值，b_t为偏移值，u_t代表上下文矢量的可训练变量。