[发明专利]基于多协议联合分析的I2P通信流量检测方法及装置

权利要求书

1.一种基于多协议联合分析的I2P通信流量检测方法，其特征在于，包括：

流量原始数据预处理：对PCAP格式的文件进行预处理，包括过滤其他流量，所述其他流量包括ICMP、ARP和DHCP流量；

数据处理及深度学习算法识别：利用卷积神经网络CNN对TCP协议传输的加密流量进行训练；

统计类特征提取与机器学习算法识别：提取同一会话的上下文流量中UDP流量与TCP流量的相关统计特征，并利用梯度提升树GBDT进行训练；

模型融合：将深度学习与机器学习的输出进行融合，并输出最后的预测结果；

所述统计类特征提取与机器学习算法识别包括：先对PCAP文件按五元组划分会话，选择加密的TCP会话，提取该TCP会话前n分钟内与该TCP会话有相同IP的所有会话信息集合，并对该集合提取统计特征，最后利用梯度提升树GBDT进行训练，并选择梯度提升树GBDT最后一层的叶子节点作为输出结果；

在目标会话的历史会话集合中，提取的统计特征包括计数特征、比例特征、均值特征和最值特征，所述计数特征包括UDP会话总数、TCP会话总数、UDP会话中对应源端口数、UDP会话中对应目的端口数、TCP会话中对应源端口数、TCP会话中对应目的端口数、UDP会话中发送字节总数、UDP会话中接收字节总数、TCP会话中发送字节总数、TCP会话中接收字节总数、DNS会话个数；

所述模型融合包括：将所述数据处理及深度学习算法识别的输出结果转为向量，并与所述统计类特征提取与机器学习算法识别的输出向量进行拼接，采用逻辑回归LR再次进行训练与识别，输出最后结果。

2.根据权利要求1所述的基于多协议联合分析的I2P通信流量检测方法，其特征在于，所述数据处理及深度学习算法识别包括：

先对PCAP文件按五元组划分会话，选择TCP会话，并提取TCP会话载荷数据的前1024字节，若不足1024字节，则利用0xFF填充至1024字节；再将此1024字节有效载荷转化为长宽为32*32的单通道灰度图片，并作为CNN模型的输入。

3.根据权利要求2所述的基于多协议联合分析的I2P通信流量检测方法，其特征在于，所述CNN模型包括卷积层Conv、池化层Pooling以及全连接层FC，无softmax层，直接将所述全连接层FC输出的64维数据作为输出结果；所述卷积层Conv的padding即填充方式采用SAME方式。

4.根据权利要求1所述的基于多协议联合分析的I2P通信流量检测方法，其特征在于，所述比例特征包括UDP会话个数占总会话数比例、UDP会话中对应源端口数与TCP会话中对应源端口数的比例、UDP会话中发送字节总数与总发送字节数的比例、UDP会话中接收字节总数与总接收字节数的比例、UDP会话中发送字节总数与UDP会话中接收字节总数的比例。

5.根据权利要求1所述的基于多协议联合分析的I2P通信流量检测方法，其特征在于，所述均值特征包括UDP会话与TCP会话时间间隔的均值、UDP会话发送字节的均值、UDP会话接收字节的均值、TCP会话发送字节的均值、TCP会话接收字节的均值。

6.根据权利要求1所述的基于多协议联合分析的I2P通信流量检测方法，其特征在于，所述最值特征包括UDP会话发送字节的最大值与最小值、UDP会话接收字节的最大值与最小值、TCP会话发送字节的最大值与最小值、TCP会话接收字节的最大值与最小值。

7.一种基于多协议联合分析的I2P通信流量检测装置，基于权利要求1所述的I2P通信流量检测方法，其特征在于，包括：

流量原始数据预处理模块，用于对PCAP格式的文件进行预处理，包括过滤其他流量，所述其他流量包括ICMP、ARP和DHCP流量；

数据处理及深度学习算法识别模块，用于利用卷积神经网络CNN对TCP协议传输的加密流量进行训练；

统计类特征提取与机器学习算法识别模块，用于提取同一会话的上下文流量中UDP流量与TCP流量的相关统计特征，并利用梯度提升树GBDT进行训练；

模型融合模块，用于将所述数据处理及深度学习算法识别模块与所述统计类特征提取与机器学习算法识别模块的输出进行融合，并输出最后的预测结果。