[发明专利]一种基于多尺度特征融合的多源网络流量分类方法及装置

权利要求书

1.一种基于多尺度特征融合的多源网络流量分类方法，其特征在于包括以下步骤：

步骤1、数据采集，采集多路网络流量数据构成本地网络流数据样本D_ls；

步骤2、特征构建及数据标准化，统计本地网络流数据样本D_ls的统计特征，构成样本特征数据集D_fs；

为D_fs打标签；为D_fs打标签，在数据集D_fs创建一列新的标签列，在标签列中将正常数据行标签标注为“0”，将带有网络攻击/入侵特征得的数据行标签标注为“1”；

步骤3、特征重要度评估与特征选择，利用互信息理论样本特征数据集D_fs中各特征与标签列的互信息值，互信息值大小标识各特征与网络行为攻击强度的相关性，将样本特征数据集D_fs按照特征互信息值大小进行降序排列，取前若干列予以保留，构造为样本特征数据集D_ss；

步骤4、数据分组，将样本特征数据集D_ss的数据进行随机分组，抽取部分为训练数据集D_{ss_tr}，剩余部分作为测试数据集D_{ss_t}；

步骤5、模型训练，构建融合局部和全局特征的网络行为分类模型，首先进行局部特征增强，抽取训练数据集D_{ss_tr}中的不规则特征区域并循环重复得到局部特征集；将局部全局特征融合，对训练数据集D_{ss_tr}中的局部和全局特征进行建模，将局部和全局特征进行多尺度融合得到局部-全局特征F_cou，局部-全局特征F_cou通过特征降维迭代得到行为表示矩阵D，为多源网络流量分类结果。

2.根据权利要求1所述的基于多尺度特征融合的多源网络流量分类方法，其特征在于所述的步骤5中局部特征增强包括：

步骤5.1、对所述的训练数据集D_{ss_tr}根据式(1)进行卷积操作得到网络行为的初始特征集n′表示卷积操作中网络层数，其取值范围为1≤n′≤N′，

其中conv_a和conv_b分别表示两层不同的神经网络卷积层参数，为卷积操作符；

步骤5.2、对初始特征集根据式(2)对D′_n位置P处的特征进行可变形卷积操作得到网络行为的局部特征I_loc，

其中W_k和P_k表示第k个位置预先指定的卷积权重和卷积偏移量，K表示可变形卷积层的频道数；

步骤5.3、对所述的网络行为的局部特征I_loc根据式(3)进行平均池化操作得到网络行为的局部特征集其取值范围为1≤k≤K

其中式(3)为计算平均池化的公式，F_k表示第k个特征图在局部特征I_loc的平均池化输出值，x_kpq表示局部特征I_loc中位于(p,q)处的第k个特征值。