[发明专利]一种基于单向突发流量特征的加密流量精细化分类方法

权利要求书

1.一种基于单向突发流量特征的加密流量精细化分类方法，其特征在于，包括以下步骤：

步骤1：从互联网单向流量中，提取单向突发流量序列，具体如下：

单向突发流量a被定义为与HTTP报文的一个片段相对应的数据包的序列；给定单向流P，单向突发流量序列B定义为单向流P中所有单向突发流量长度的序列；

步骤1.1：从数据包中解析构造单向突发流量特征的元信息；

首先，从网络中获取一条单向流P，P中包含K个数据包：P＝(p1,p2,…,pi,…，pK),其中pi为第i个数据包；

然后，解析每个数据包获取构造单向突发流量特征的元信息，其中，pi.l表示TCP有效载荷的长度、pi.n表示TCP有效载荷中TLS记录头部的个数、pi.r包含了pi.n个长度值的数组，其中，每个值为TLS记录头部的长度加上TLS记录头部中长度字段值；

步骤1.2：计算单向突发流量序列B；

在TLS的实现中，TLS记录大小是一个重要的参数，根据TLS记录大小的不同，单向突发流量序列B计算分为两种：

第一种：TLS记录大小超过最大报文段长度(MSS)，在这种情况下，每个数据包含有1个或者0个TLS记录头部；遍历P中每一个数据包pi，并依次将pi.r中pi.n个长度值加入到单向突发流量序列B中；

第二种：TLS记录大小小于最大报文段长度，在这种情况下，每个数据包含有0个、1个甚至多个TLS记录头部；假设当前遍历到数据包pi时,记seg为在后续TCP有效载荷中剩余TLS记录的长度，a′表示当前正在计算的单向突发流量；首先，将pi.r中pi.n个长度值的总和加到seg和a′上，然后seg减去当前TCP有效载荷的长度pi.l，得到在后续TCP有效载荷中剩余TLS记录的长度；如果seg不等于0，则当前单向突发流量a′尚未结束，如果seg等于0，则当前单向突发流量a′结束，并将a′加到单向突发流量序列B中；

步骤2：构建不含全连接层的卷积神经网络；

其中，卷积层的层数为e，并且最后一层卷积核的数量等于要分类的数量；由于神经网络中没有全连接层，所以它不需要固定长度的数据作为输入，为了节省内存，设置一个长度阈值N，如果序列长度超过阈值N，则截取原始输入的前N个元素；

步骤3：将步骤1得到的单向突发流量序列，输入到步骤2中的卷积神经网络模型进行训练；

步骤4：使用训练好的卷积神经网络对未知流量分类，即，从单向流量中提取单向突发流量序列，并输入到训练好的神经网络模型中，最终得到预测结果。

2.如权利要求1所述的一种基于单向突发流量特征的加密流量精细化分类方法，其特征在于，步骤3的实现方法如下：

步骤3.1：设F∈R^D×T为e层卷积层的输出，即输入的单向突发流量序列B的特征表示；D是卷积核的数量，等于要分类的类别数；T是特征图的长度；第一个卷积层在下标t处的等式如下：

其中，C表示在长度为N的单向突发流量序列B上使用长度为3的滤波器W_B、偏置参数b和非线性函数ReLU的卷积结果；

步骤3.2：使用全局平均池化层进行分类；

全局平均池化层接受e层卷积的输出，并在时间维度上平均每个特征图，如式(2)所示：

其中，V是全局平均池化层的输出；β表示第β个特征图，j表示第β个特征图的下标；

最后，将softmax分类器应用于V上，如式(3)所示：

其中，W_V是要训练的参数，是单向突发流量序列B被预测为每个类的概率；

步骤3.3：定义损失函数的定义；使用交叉熵损失函数来计算预测值与标签y_i之间的损失，如式(4)所示：

其中，标签y_i采用独热码编码，|X|是模型输入X的数量；如果y_ij是1,则I(y_ij＝1)＝1，否则为0；使用Adam优化器，将训练过程中的损失降到最低。