[发明专利]基于三层模型SFTF-L的网络加密流量分类方法与系统

权利要求书

1.一种基于三层模型SFTF-L的网络加密流量分类方法，其特征在于，所述方法包括如下步骤：

(1)收集已标注类型的网络加密流量数据集；

(2)通过流量切割将每个加密流量文件进行切分，并将相同会话汇聚成一条数据流，然后进行流量清洗去除数据流中的无用信息，选取每条数据流的前三个数据包开展特征学习；

(3)针对每条数据流，将数据包的字节流信息转化为灰度图像，并计算三个数据包之间的到达时间间隔，根据到达时间间隔自适应地在数据包对应图像之间插入时序特征图；

(4)设计三层模型SFTF-L的结构，并利用训练集对应的图像进行模型训练，学习加密流量的空间特征和时序特征，构建出网络加密流量分类模型；所述三层模型SFTF-L的结构包括用于学习加密流量空间特征的XResnet50网络，用于学习加密流量时序特征的LSTM网络，以及softmax分类器；

步骤(3)中自适应插入时序特征图的方法为：

根据数据包d1和d2之间的到达时间间隔t秒，在d1对应的图片p1以及d2对应的图片p2之间，插入f(t)个时序特征图片，每个时序特征图是元素值为1的28*28灰度图像，f(t)的计算方法如下：

XResnet50网络模型分为7个Stage：

Stage1：包括两层，即卷积层和池化层，其中卷积层卷积核大小为7*7，步长为2，卷积核数量为64，池化层滑动窗口大小为3*3，步长为2；

Stage2：每个block由1*1、3*3、1*1的卷积核堆叠而成，block堆叠3次，卷积核数量均为64；

Stage3：每个block由1*1、3*3、1*1的卷积核堆叠而成，block堆叠4次，按顺序1*1卷积核数量为128，3*3卷积核数量为128，1*1卷积核数量为512；

Stage4：每个block由1*1、3*3、1*1的卷积核堆叠而成，block堆叠6次，按顺序卷积核数量依次为256、256、1024；

Stage5：每个block由1*1、3*3、1*1的卷积核堆叠而成，block堆叠3次，按顺序卷积核数量依次为512、512、2048；

Stage6：包括两层，用于放大加密流量的空间特征；一层为池化层，包含平均池化和最大池化两步，池化滑动窗口大小均为2*2，另一层为卷积层，卷积核大小为7*7，卷积核数量为2048；Stage6通过池化和卷积生成空间特征的公式为：

S(F)＝σ(f^7×7([AvgPool(F)；MaxPool(F)]))

其中S(F)是Stage6池化和卷积后生成的空间特征，f是7*7的卷积核，F是XResnet50中Stage5的输出，AvgPool()是平均池化，MaxPool()是最大池化，[；]表示拼接，σ表示sigmoid函数；

Stage7：包括池化层和全连接层，池化滑动窗口大小为7*7，全连接层输出尺寸为2048；

LSTM网络的输入为XResnet50层学习到的空间特征，隐藏层包含128个神经元，通过全连接层(FC)产生输出向量，将时间步长设置为7；

softmax分类器的输入为LSTM层学习到的包含空间和时序的特征，进行预测的计算公式为：

其中y_i表示待分类流量属于第i种类型的预测概率，n表示加密流量类别总数，f_i表示LSTM网络输出层第i种类型的结果。