[发明专利]一种网络加密流量识别方法及装置

权利要求书

1.一种网络加密流量识别方法，其特征在于，所述方法包括：

获得待识别网络流量内属于通信建立阶段的前预设数量个数据包的报文信息、通信行为信息以及时序信息，其中，所述待识别网络流量为一个加密网络会话通信阶段产生的网络流量；所述待识别网络流量内属于通信建立阶段的前预设数量个数据包的通信行为信息至少包括：通信端口号、数据包的长度、数据包的发出时间、数据包的发出间隔时间；

针对所述前预设数量个数据包中的每一数据包，根据该数据包的报文信息和通信行为信息，构建该数据包的二维数据矩阵；

将所述前预设数量个数据包的二维数据矩阵按照各个数据包的时序信息进行堆叠，获得所述待识别网络流量的三维数据立方体；

将所述待识别网络流量的三维数据立方体输入至预先训练的网络流量识别模型中，识别所述待识别网络流量的协议类型，其中，所述网络流量识别模型为：以样本网络加密流量的三维数据立方体为输入、样本网络加密流量的协议类型为训练基准，对预设的深度学习模型训练得到的、且用于对网络加密流量的协议类型进行识别的模型，所述样本网络加密流量的三维数据立方体为：按照所述样本网络加密流量中数据包的时序信息、对包含所述样本网络加密流量中数据包的报文信息、通信行为信息的二维数据矩阵堆叠而得到的三维数据。

2.根据权利要求1所述的方法，其特征在于，所述网络流量识别模型包括：输入层、包括三维卷积核的卷积层、池化层、全连接层以及输出层；其中，

所述输入层用于获得网络加密流量的三维数据立方体，并将所获得的三维数据立方体传输至所述卷积层；

所述卷积层用于采用所述三维卷积核对所述网络加密流量的三维数据立方体进行三维卷积变换，得到三维特征图，并将所述三维特征图传输至所述池化层；

所述池化层，用于对所述三维特征图进行特征降维处理，并将降维处理后的三维特征图传输至所述全连接层；

所述全连接层，用于对降维处理后的三维特征图进行非线性映射，得到特征向量，并将所述特征向量传输至所述输出层，其中，所述特征向量的维数等于预设协议类型数量；

所述输出层，用于基于所述特征向量和预设的分类算法，获得网络加密流量的协议类型为各个预设协议类型的概率，并依据所获得的概率输出网络加密流量的协议类型的识别结果。

3.根据权利要求1或2所述的方法，其特征在于，所述获得待识别网络流量内属于通信建立阶段的前预设数量个数据包的报文信息、通信行为信息以及时序信息，包括：

基于在预设网络节点上旁路所部署的探针，获得待识别网络流量；

提取所述待识别网络流量内属于通信建立阶段的前预设数量个数据包的报文信息、通信行为信息以及时序信息。

4.根据权利要求1或2所述的方法，其特征在于，所述获得待识别网络流量内属于通信建立阶段的前预设数量个数据包的报文信息、通信行为信息以及时序信息，包括：

基于在预设网络节点上旁路所部署的探针，获得待识别网络流量内属于通信建立阶段的前预设数量个数据包的报文信息、通信行为信息以及时序信息。