[发明专利]基于图像的新型恶意流量检测方法

说明书

本发明公开了一种能够进一步提高检测的准确率和精确度的基于图像的新型恶意流量检测方法。该基于图像的新型恶意流量检测方法，包括以下步骤：S1、收集数据，S2、通过Hilbert填充曲线将这些pcap数据包转换为图像文件，然后分为正常和恶意存储起来，并把这些数据分为训练集和测试集；S3、利用改进Efficientnet神经网络模型对存储起来的训练集图像进行训练然后利用测试集进行分类从而达到恶意流量检测的作用。采用该基于图像的新型恶意流量检测方法，通过与其他运用图像进行恶意流量检测的模型同时采用IEEE DataPort网站上的公共数据集，进行仿真实验对比分析，各评估指标都有3％以上的提高。

技术领域

本发明涉及流量的检测，尤其是一种基于图像的新型恶意流量检测方法。

背景技术

众所周知的：随着网络流量的激增，网络系统时刻面临突如其来的网络安全威胁，入侵检测系统就此发展起来，并在工业网络、物联网、医疗、交通等领域得到广泛的应用。入侵检测的本质是数据分类问题，即从数据中正确识别出正常和异常数据，目前入侵检测技术主要包括机器学习、深度学习、强化学习和可视化技术等^[1]。其中经典的机器学习网络流量分类方法，成为恶意流量检测的主要方法之一^[2]。用经典的机器学习方法来解决网络流量分类问题，需要通过流量分析专家对网络流量分析后设计出合适的特征标签，并将这些特征标签归为不同特征集，然后使用检测模型对特征集进行训练和分类，以达到识别网络流量的目的。这种检测方法的准确率依赖于特征集的设计，然而设计合适的特征集仍然是目前很难解决的问题^[3,4]，并且人工对特征进行标签会使数据原始特征因某些人为因素而丢失，这也是导致检测不准的原因。

如今随着深度学习的发展，深度学习在处理和识别图像的方法上取得了巨大进步，研究者们开始使用深度学习中卷积神经网络和其它相似网络，从处理和识别图像方法上进行入侵检测分析，将数据原始特征直接从图像中提取出来，克服了人工标签的困难^[11]。例如，Wang W等^[5]提出一种基于卷积神经网络的恶意流量分类方法，该方法不需要人工对恶意流量进行特征标记，提高了检测的效率。孔令爽^[6]将恶意流量转换为灰度图像并运用图像中的纹理表征对恶意流量进行归类，很好的提高归类的准确率。Roseline S A等^[7]通过将流量表征为图像，利用集成森林交替生产特征向量和类向量，对恶意软件进行分类，具有较好的计算效率。陈红松^[8]提出将多条流量样本转换为灰度图像并利用残差神经网络和双向LSTM融合对图像进行分类，从而达到预测恶意流量的目的，分类准确率达到96.77％，在效率和准确率上都达到了很好的效果。张稣荣等^[9]将原始流量数据通过数据预处理，将pcap格式的原始数据经过格式转换，变为二维图像，然后利用迁移学习将EfficientNet-B0模型迁移到转换后的数据集上，并对数据集进行再训练和分类，从而达到了一个很高的准确率。Rose J R等^[10]使用MobileNetV3神经网络对网络流量转换的图像文件进行分类，达到了98.35％的准确率，证明他们所提出异常检测系统的可行性。徐洪平等^[11]提出一种将流量转换为图像并使用卷积循环神经网络对图像分类的网络流量异常检测算法，该算法能够充分地提取网络流量数据在空间域和时间域上的特征，解决了人工标注标签的困难，并得到很高的准确率。

发明内容

本发明所要解决的技术问题是提供一种能够进一步提高检测的准确率和精确度的基于图像的新型恶意流量检测方法。

本发明解决其技术问题所采用的技术方案是：基于图像的新型恶意流量检测方法，包括以下步骤：

S1、从Stratosphere实验室和专注于网络安全监控和网络取证NETRESEC软件供应商的网站上收集得到，网站所提供的数据都有相应的文件标签，有正常流量和恶意流量，流量以十六进制pcap包的形式呈现；对数据进行预处理；