[发明专利]一种基于NetFlow数据的特定加密流量识别方法及系统

说明书

本发明涉及一种基于NetFlow数据的特定加密流量识别方法及系统。该方法的步骤包括：利用原始网络流量生成NetFlow序列；采用双向LSTM网络捕获NetFlow序列的上下文关系；采用注意力机制对NetFlow序列的上下文关系进行注意力权重计算，得到NetFlow序列的特征；利用得到的NetFlow序列的特征识别加密流量。本发明以NetFlow序列作为输入来保护用户隐私，利用双向LSTM网络尽可能捕获稀疏流记录上下文关系，增加注意力机制进行注意力权重计算，对信息进行加权，实现对相关性特征的增强，自动学习流记录的潜在特征。即使在较低的采样率下，本发明仍能够取得较好的加密流量识别效果。

技术领域

本发明属于网络安全领域，涉及基于NetFlow数据的VPN加密流量识别技术，具体涉及一种基于NetFlow数据的特定加密流量识别方法及系统。

背景技术

加密流量的识别一直是流量识别领域的研究热点。虚拟专用网络(VPN)是一个虚拟网络，它建立安全和加密的连接，以帮助确保敏感数据的安全传输。目前，随着人们对通信安全的日益重视，VPN技术被广泛应用于网络通信中，以满足不同的安全需求。然而，随着VPN技术的广泛应用，也给网络安全和管理带来了一些挑战。一方面，VPN很容易被攻击者或黑客利用以隐藏其恶意行为，使其难以被发现。另一方面，VPN采用隧道协议和加密技术，使得从其他加密的非VPN流量中检测VPN流量变得困难。另外，加密VPN流量检测对传统的基于端口和基于规则的方法也是一个巨大的挑战。因此，如何有效地识别VPN流量已经成为网络管理和网络空间安全中日益重要和实用的课题。

目前，VPN流量检测引起了学术界的广泛关注。目前比较典型的方法是基于机器学习的方法。机器学习方法一般需要选择有效的特征来检测VPN流量。然而，这些特征往往是人工提取的，严重依赖于专业经验。而且，这些方法很大程度上依赖于这些特征。一旦特征改变，模型将失败。为了降低人工构造特征的成本，人们逐渐将深度学习应用于特征的自动学习。目前的深度学习模型虽然取得了很好的效果，但大多倾向于使用原始加密流量或原始加密流量中的信息作为输入来学习特征。这必然会导致模型投入巨大、耗时过长的问题。同时，捕获和使用原始流量也会在一定程度上造成用户隐私问题。为了解决这些问题，可以考虑的另一种方法是使用NetFlow数据，它由Cisco提出，只包含会话级别的统计信息。NetFlow数据对数据包信息进行了汇总和统计，保留了体现流量特征的重要信息，且不涉及用户隐私，是原始流量的一种有效替代方式。此外，与现有的加密流量识别的相关研究相比，目前利用NetFlow数据进行流量识别的研究还很少。

发明内容

本发明针对上述问题，提供一种基于NetFlow数据的特定加密流量识别方法及系统。

本发明采用的技术方案如下：

一种基于NetFlow数据的特定加密流量识别方法，包括以下步骤：

利用原始网络流量生成NetFlow序列；

采用双向LSTM网络捕获NetFlow序列的上下文关系；

采用注意力机制对NetFlow序列的上下文关系进行注意力权重计算，得到NetFlow序列的特征；

利用得到的NetFlow序列的特征识别加密流量。

进一步地，所述NetFlow序列包括：单向原始流记录序列、单向扩充流记录序列、双向原始流记录序列和双向扩充流记录序列。

进一步地，各种NetFlow序列的构成如下：

单向原始流记录序列：{流持续时间,协议,源端口,目的端口,TCP flag,流内包数,流内字节数}；

单向扩充流记录序列：{流持续时间,协议,源端口,目的端口,TCP flag,流内包数,流内字节数}+{bps,pps,bpp}；