[发明专利]基于流量图像与低频信息的多模态加密网络流量分类方法

权利要求书

1.一种基于流量图像与低频信息的多模态加密网络流量分类方法，其特征在于，包括：

构建训练数据集，所述训练数据集为单类型的流量数据；

构建多模态网络，其中，所述多模态网络包括：二维流量图像异常检测模型和低频信息异常检测模型，所述二维流量图像异常检测模型和所述低频信息异常检测模型的结构相同，均为基于GAN和AE的异常检测学习网络；

利用所述训练数据集对所述多模态网络进行训练，得到训练完成的多模态网络模型；

利用训练完成的多模态网络模型对待测的流量数据进行分类识别。

2.根据权利要求1所述的基于流量图像与低频信息的多模态加密网络流量分类方法，其特征在于，构建训练数据集，包括：

获取pcap格式的网络流量数据包，包括Tor和non-Tor两种类型的网络流量数据；

对所述网络流量数据包进行预处理后转换为对应的流量图像，得到流量图像数据集；

将所述流量图像数据集按照网络流量数据类型划分为Tor流量数据和non-Tor流量数据，将其中的一种类型的流量数据作为训练数据集。

3.根据权利要求2所述的基于流量图像与低频信息的多模态加密网络流量分类方法，其特征在于，对所述网络流量数据进行预处理后转换为对应的流量图像，得到流量图像数据集，包括：

去除所述网络流量数据中多余的pcap头部信息；

将去除pcap头部信息的剩余数据切分成以数据包为单位的数组；

对所述数据包进行筛选，去除空载荷、DNS和ARP协议类的数据包；

对筛选后的数据包中的源/目的IP和TCP地址进行抹零操作，并去除MAC帧头部，以去除数据包中的冗余信息；

对去除冗余信息后的所有数据包进行长度统一操作，形成长度为1600字节的数据包，其中，对于长度大于1600字节的数据包，舍弃数据包载荷中最后的字节；对于长度小于1600字节的数据包，在载荷最后进行补零操作，直至达到1600字节；

将长度统一操作后的每个数据包转换成40*40长度的流量图像，得到流量图像数据集。

4.根据权利要求1所述的基于流量图像与低频信息的多模态加密网络流量分类方法，其特征在于，所述基于GAN和AE的异常检测学习网络，包括：AE网络、第二编码器和判别器，其中，

所述AE网络包括级联的第一编码器和解码器；

所述第二编码器的输入端连接所述解码器的输出端，所述第二编码器用于引入隐空间特征损失；

所述判别器包括级联的第三编码器和Sigmoid层，其中，所述AE网络的输入和所述解码器的输出作为所述第三编码器的输入。

5.根据权利要求4所述的基于流量图像与低频信息的多模态加密网络流量分类方法，其特征在于，所述第一编码器、所述第二编码器和所述第三编码器的结构相同，均包括依次级联的第一编码单元、多个第二编码单元和卷积层，其中，

所述第一编码单元包括依次级联的卷积层、LeakyReLU激活函数层和CBAM模块；

所述第二编码单元包括依次级联的卷积层、批标准化层、LeakyReLU激活函数层和CBAM模块；

所述编码器中的所有卷积层的卷积核大小为4*4，步长为2*2，填充长度为1*1。

6.根据权利要求4所述的基于流量图像与低频信息的多模态加密网络流量分类方法，其特征在于，所述解码器包括依次级联的多个第一解码单元和第二解码单元，其中，

所述第一解码单元包括依次级联的反卷积层、批标准化层、LeakyReLU激活函数层和CBAM模块；

所述第二解码单元包括依次级联的反卷积层和Tanh激活函数层；

所述反卷积层的卷积核大小为4*4，步长为2*2，填充长度为1*1。