[发明专利]一种网络加密流量识别方法及装置

说明书

本发明实施例提供了一种网络加密流量识别方法及装置，涉及网络安全技术领域，包括：获得待识别网络流量内属于通信建立阶段的前预设数量个数据包的报文信息、通信行为信息及时序信息，待识别网络流量为一个加密网络会话通信阶段产生的网络流量；针对前预设数量个数据包中的每一数据包，根据该数据包的报文信息和通信行为信息，构建该数据包的二维数据矩阵；将前预设数量个数据包的二维数据矩阵按照各个数据包的时序信息进行堆叠，获得待识别网络流量的三维数据立方体；将待识别网络流量的三维数据立方体输入至预先训练的网络流量识别模型中，识别待识别网络流量的协议类型。应用本发明实施例提供的方案，能够提高网络加密流量识别的准确率及效率。

技术领域

本发明涉及网络安全技术领域，特别是涉及一种网络加密流量识别方法及装置。

背景技术

随着5G、物联网、工业互联网等新型网络技术的快速发展和应用场景的多样化，网络终端形式更加多元化、数量呈现指数级增长。远程控制、信息窃取、拒绝服务等网络攻击一旦成功入侵网络，将对用户信息安全构成重大威胁，因此，网络终端面临的网络安全风险日益凸显。

当前绝大多数网络攻击需要通过网络通信来达到其恶意目的，如果可以准确的识别出由网络攻击行为产生的网络流量，那么我们就可以确定被攻击的目标系统和设备，从而做出有效的应对措施。近年来，加密网络协议在多个重点行业广泛应用，而网络攻击也越来越多采用加密恶意流量伪装成正常网络流量进行通信。现有的网络监测分析手段比如端口识别、深度包检测等，无法有效检测出加密网络流量；基于统计特征的方法，如机器学习，虽然不依赖数据包有效载荷的解析，但是输入参数需要人工提取，存在准确度不高，效率低下问题。

发明内容

本发明实施例的目的在于提供一种网络加密流量识别方法及装置，以提高网络加密流量识别的准确率以及效率。具体技术方案如下：

第一方面，本发明实施例提供了一种网络加密流量识别方法，所述方法包括：

获得待识别网络流量内属于通信建立阶段的前预设数量个数据包的报文信息、通信行为信息以及时序信息，其中，所述待识别网络流量为一个加密网络会话通信阶段产生的网络流量；

针对所述前预设数量个数据包中的每一数据包，根据该数据包的报文信息和通信行为信息，构建该数据包的二维数据矩阵；

将所述前预设数量个数据包的二维数据矩阵按照各个数据包的时序信息进行堆叠，获得所述待识别网络流量的三维数据立方体；

将所述待识别网络流量的三维数据立方体输入至预先训练的网络流量识别模型中，识别所述待识别网络流量的协议类型，其中，所述网络流量识别模型为：以样本网络加密流量的三维数据立方体为输入、样本网络加密流量的协议类型为训练基准，对预设的深度学习模型训练得到的、且用于对网络加密流量的协议类型进行识别的模型，所述样本网络加密流量的三维数据立方体为：按照所述样本网络加密流量中数据包的时序信息、对包含所述样本网络加密流量中数据包的报文信息、通信行为信息的二维数据矩阵堆叠而得到的三维数据。

本发明的一个实施例中，上述网络流量识别模型包括：输入层、包括三维卷积核的卷积层、池化层、全连接层以及输出层；其中，

所述输入层，用于获得网络加密流量的三维数据立方体，并将所获得的三维数据立方体传输至所述卷积层；

所述卷积层，用于采用三维卷积核对所述网络加密流量的三维数据立方体进行三维卷积变换，得到三维特征图，并将所述三维特征图传输至所述池化层；

所述池化层，用于对所述三维特征图进行特征降维处理，并将降维处理后的三维特征图传输至所述全连接层；

所述全连接层，用于对降维处理后的三维特征图进行非线性映射，得到特征向量，并将所述特征向量传输至所述输出层，其中，所述特征向量的维数等于预设协议类型数量；