[发明专利]流量数据特征提取方法、恶意流量识别方法及网络系统

权利要求书

1.一种恶意流量识别方法，其特征在于，包括：

步骤A，获取多个已知类别的流量数据；

步骤B，提取每个流量数据的特征向量，为每个特征向量打上类别标签，多个打上了类别标签的特征向量组成流量数据集，将流量数据集划分为训练集和测试集；所述类别标签包括恶意和合法，具体提取每个流量数据的特征向量的方法为：

步骤S1，获取流量数据；设所述流量数据中包括m条数据流，分别从每条数据流中提取n个特征，构建矩阵X：

其中，m和n均为正整数；矩阵X中任一元素x_ij表示第i条数据流的第j个特征，1≤i≤m，1≤j≤n；矩阵X的n列数据与n个特征一一对应；

步骤S2，对矩阵X进行归一化处理获得特征值矩阵

步骤S3，对于特征值矩阵求取每列数据中两两元素的相似度并通过求取的m*m个相似度构建m*m维矩阵，将所述m*m维矩阵作为所述列数据对应特征的自相似性矩阵，获得n个自相似性矩阵；

步骤S4，将特征值矩阵的每列数据作为一个向量，求取每个向量的直方图，记为所述向量对应特征的特征值直方图；

取每个特征的自相似性矩阵的上三角元素，获得所述特征的特征差异直方图；

将每个特征的特征值直方图与特征差异直方图组合成表示所述特征的向量，第k个特征值直方图与第k个特征差异直方图相对应，代表样本集合第k维特征的数据分布及差异信息，将两类特征向量两两对应组合，得到每维特征的向量表示；

步骤S5， 将n个特征的向量整合成表示所述流量数据的特征向量；

步骤C，构建分类模型；利用训练集和测试集分别对分类模型进行训练和验证，直到分类模型的准确率和召回率达到预设要求，获得流量识别模型；

步骤D，获取待识别流量数据并提取特征向量，将待识别流量数据的特征向量输入流量识别模型，流量识别模型输出识别结果。

2.如权利要求1所述的恶意流量识别方法，其特征在于，在所述步骤S3中，求取每列数据中两两元素的相似度的计算公式为：

sim(x_lk,x_rk)＝x_lk-x_rk；

其中，sim(x_lk,x_rk)表示第k列数据中第l行元素x_lk与第k列数据中第r行元素x_rk的相似度。

3.如权利要求1所述的恶意流量识别方法，其特征在于，在所述步骤S2中，矩阵X中每个元素按照如下变换公式变换后获得特征值矩阵

min(x_ij)表示矩阵X的最小元素，max(x_ij)表示矩阵X的最大元素。

4.如权利要求1所述的恶意流量识别方法，其特征在于，n个特征为空间网络和地面网络的共性特征。

5.如权利要求1所述的恶意流量识别方法，其特征在于，在执行所述步骤C后，还包括样本平衡步骤，所述样本平衡步骤包括：

步骤一，提取接近流量识别模型决策边界的已知类别的流量数据样本；

步骤二，对所提取的样本进行聚类分析，获得位于决策边界的少数类样本；

步骤三，利用获得的位于决策边界的少数类样本生成新的少数类样本并将新生成的少数类样本加入原训练集中，构成最终的训练集；

步骤四，利用最终的训练集和测试集分别再次对分类模型进行训练和验证，直到分类模型的准确率和召回率达到预设要求，获得最终的流量识别模型。

6.如权利要求1所述的恶意流量识别方法，其特征在于，已知类别的流量数据包括演化类和/或攻击类恶意流量数据。

7.一种恶意流量检测装置，其特征在于，包括流量获取单元和处理器；所述流量获取单元获取待识别流量数据并传输至处理器；

处理器接收待识别流量数据，并执行权利要求1-6之一所述方法的步骤获得识别结果。