[发明专利]基于多协议联合分析的I2P通信流量检测方法及装置

说明书

本发明公开了一种基于多协议联合分析的I2P通信流量检测方法及装置，其中检测方法包括：流量原始数据预处理：对PCAP格式的文件进行预处理，包括过滤其他流量，所述其他流量包括ICMP、ARP和DHCP流量；数据处理及深度学习算法识别：利用卷积神经网络CNN对TCP协议传输的加密流量进行训练；统计类特征提取与机器学习算法识别：提取同一会话的上下文流量中UDP流量与TCP流量的相关统计特征，并利用梯度提升树GBDT进行训练；模型融合：将深度学习与机器学习的输出进行融合，并输出最后的预测结果。本发明结合TCP协议与UDP协议会话，提取相关特征，融合机器学习与机器学习，可有效提高I2P流量检测的准确性。

技术领域

本发明涉及匿名通信技术领域，尤其涉及一种基于多协议联合分析的I2P通信流量检测方法及装置。

背景技术

随着网络信息数据的深化暗化，不法分子利用匿名通信技术，如暗网网络，隐藏个人身份，匿名发布及传播非法信息，给网络安全带来了巨大威胁。

I2P(Invisible Internet Project)，作为当前主流的匿名通信工具，是一种基于单向加密隧道的匿名通信系统，它通过建立包含多跳代理的隧道对用户网络流量进行转发，以便达到保障用户通信关系匿名的目的。目前I2P流量识别的方法大多基于TCP协议采用规则匹配、机器学习以及深度学习识别等方法。如专利《基于特征匹配的I2P流量识别方法及系统》提出一种基于特征匹配的I2P流量识别方法及系统，通过I2P会话建立过程中出现的固定载荷序列判断该流量是否属于I2P；专利《基于深度学习的I2P流量识别方法及系统》将各流量信息转换为相应的灰度图像,为之后利用深度学习卷积神经网络进行流量识别提供模型输入,以实现快速识别I2P流量的目标。但大多方法只利用了TCP协议传输下的加密流量信息，没有考虑UDP协议中含有的特征。

发明内容

针对现有方法大多只分析TCP协议下的I2P通信流量，而忽略UDP协议的问题，为提高I2P通信流量检测的覆盖率与准确率，本发明提供了一种基于多协议联合分析的I2P通信流量检测方法及装置，对TCP协议与UDP协议进行联合分析，在对数据进行初步的预处理后，将数据包送入机器学习与深度学习的融合框架中，以便对网络流量进行分类，实现对I2P通信流量的精准检测。

本发明采用的技术方案如下：

一种基于多协议联合分析的I2P通信流量检测方法，包括：

流量原始数据预处理：对PCAP格式的文件进行预处理，包括过滤其他流量，所述其他流量包括ICMP、ARP和DHCP流量；

数据处理及深度学习算法识别：利用卷积神经网络CNN对TCP协议传输的加密流量进行训练；

统计类特征提取与机器学习算法识别：提取同一会话的上下文流量中UDP流量与TCP流量的相关统计特征，并利用梯度提升树GBDT进行训练；

模型融合：将深度学习与机器学习的输出进行融合，并输出最后的预测结果。

进一步地，所述数据处理及深度学习算法识别包括：先对PCAP文件按五元组划分会话，选择TCP会话，并提取TCP会话载荷数据的前1024字节，若不足1024字节，则利用0xFF填充至1024字节；再将此1024字节有效载荷转化为长宽为32*32的单通道灰度图片，并作为CNN模型的输入。

进一步地，所述CNN模型包括卷积层Conv、池化层Pooling以及全连接层FC，无softmax层，直接将所述全连接层FC输出的64维数据作为输出结果；所述卷积层Conv的padding即填充方式采用SAME方式。

进一步地，所述统计类特征提取与机器学习算法识别包括：先对PCAP文件按五元组划分会话，选择加密的TCP会话，提取该TCP会话前n分钟内与该TCP会话有相同IP的所有会话信息集合，并对该集合提取统计特征，最后利用梯度提升树GBDT进行训练，并选择梯度提升树GBDT最后一层的叶子节点作为输出结果。