CN109951357A - 基于多层神经网络的网络应用识别方法 - Google Patents

Abstract

本发明公开了一种基于多层神经网络的网络应用识别方法，通过提取数据流特征对神经网络进行训练，克服了现有技术中无法识别加密流量、识别效率低的问题。本发明实现的步骤是：1)抓取网络流量数据包；2)生成网络数据流的特征集合；3)生成数据集；4)生成训练集和测试集；5)构建多层神经网络；6)训练神经网络；7)对测试样本集进行识别。本发明具有能够识别加密流量、模型简单、识别速度快的优点，可用于识别网络流量的网络应用类型。

Description

基于多层神经网络的网络应用识别方法

技术领域

本发明属于通信技术领域，更进一步涉及网络流量识别技术领域中的一种基于多层神经网络的网络应用识别方法。本发明通过获取网络流量的信息，用于识别该网络流量的网络应用类型。

背景技术

网络应用识别技术是指通过获取网络流量的某些信息识别出该网络流量所属的网络应用，也称网络流量识别技术。网络应用识别不但能够优化网络配置，降低网络安全隐患，而且能够根据用户的行为分析提供更好的服务质量。现有的网络应用识别方法主要分为四种类型：基于端口的网络应用识别、基于深度包检测的网络应用识别、基于深度流检测的网络应用识别和基于深度学习方法的网络应用识别。

中国科学院计算机网络信息中心在其申请的专利文献“一种基于网络包载荷的卷积神经网络流量分类方法及系统”(专利申请号：CN 201811122301.6，申请公布号：109361617A)中公开了一种基于网络包载荷的卷积神经网络流量分类方法。该方法的具体步骤是：将网络抓包所得pcap文件中所有的数据包传输层的去除头部后的载荷数据提出取来，将整个数据包的载荷的信息转换为字节序列，随机打乱数据顺序并且进行训练集、验证集和测试集的分割；将结构化的数据输入一维卷积神经网络进行训练，完成神经网络隐藏单元的权重参数调整；在验证集和测试集上进行性能验证，若达不到性能指标，则反馈给模型训练模块继续调整模型参数。该方法存在的不足之处是，使用了深度卷积神经网络对整个数据包的载荷信息进行检测，网络结构复杂，识别效率低。

山东大学在其申请的专利文献“一种基于BP神经网络进行流量识别的方法”(专利申请号：CN 201410382172.X，申请公布号：CN 104144089A)中公开了一种利用BP神经网络的网络实时识别方法。该方法的具体步骤是：通过获取简单的网络数据流的数据包包头信息生成特征值，从中选取合适的特征值作为BP神经网络的输入，得到样本训练集，然后实时抓取网络数据流提取特征作为BP神经网络的输入进行实时识别。该方法存在的不足之处是，该方法仅通过提取网络数据流的数据包包头信息生成特征值，因此无法识别改变了数据包包头信息的加密流量的网络应用类型。

发明内容

本发明的目的在于针对上述现有技术不足，提出一种基于多层神经网络的网络应用识别方法。

实现本发明目的的思路是，目前的网络流量识别方法都具有识别效率低，且无法识别加密流量的缺点，而数据流特征不会受到流量加密技术的影响，具有不变性。本发明将通过提取数据流特征，然后构建一个通过训练神经网络来识别流量的模型。

为实现上述目的，本发明的技术方案包括如下：

(1)抓取网络流量数据包：

使用网络嗅探工具，在网络流量高峰时段，分别抓取有线网络环境下和无线网环境下的一段网络流量，将网络流量中的数据包组成数据包集合；

(2)生成网络数据流的特征集合：

(2a)将数据包集合中相同属性的数据包划分成一个小集合，作为一条网络数据流，重复选取直到将数据包集合中的所有数据划分完，最终得到由多条网络数据流组成的网络数据流集合；

(2b)提取每一条网络数据流中每个数据包的13种特征，将所有数据包的特征组成该条网络数据流的流特征，将所有的流特征组成流特征集合；

(3)生成数据集：

(3a)从流特征集合中选取一条未选取过的流特征，对所选流特征的13种特征分别做归一化处理，将处理后的13种特征竖向组合成一个13×1的列向量，作为所选网络数据流的流量特征；

(3b)人工识别所选流特征的网络应用类型，并对所识别的网络应用类型进行独热编码，得到与所识别的网络应用类型对应的应用类型向量；

(3c)判断是否选取完流特征集合中的流特征，若是，则执行步骤(3d)，否则，执行步骤(3a)；

(3d)将所有流量特征组合成流量特征集合，将所有应用类型向量组合成应用类型向量集合；

(4)生成训练集和测试集：

(4a)在流量特征中随机选取80％的流量特征以及对应的应用类型向量，组成训练样本集；

(4b)将剩余的流量特征和对应的应用类型向量，组成测试样本集；

(5)构建多层神经网络：

(5a)搭建一个四层的神经网络，其结构依次是输入层→第一隐藏层→第二隐藏层→输出层；

(5b)设置神经网络中各层的参数：将输入层的神经元个数设置为13个，激活函数为ReLU函数；将第一隐藏层和第二隐藏层的神经元个数设置为8个，激活函数为ReLU函数；将输出层的神经元个数设置为6个，激活函数为softmax函数；

(5c)使用Xavier初始化方法，对神经网络中的每个神经元的参数进行初始化；

(6)训练神经网络：

(6a)将训练样本集中所有流量特征输入到多层神经网络中，经过前向传播计算方法，输出所有流量特征的预测应用类型向量；

(6b)利用误差公式，计算训练样本集中每条流量特征的预测应用类型向量与训练样本实际应用类型向量的损失值；

(6c)判断每条流量特征的损失值是否小于10^-1，若是，则执行步骤(6d)，否则，执行步骤(6e)；

(6d)将每条流量特征的损失值，按照随机梯度下降法，反向传播调整多层神经网络中每个神经元的参数，直到训练样本集所有流量特征的损失值都对多层神经网络的神经元参数进行了调整后再执行步骤(6a)；

(6e)完成多层神经网络训练，得到训练好的多层神经网络；

(7)对测试样本集进行识别：

将测试样本集输入到训练好的多层神经网络中，得到最终测试样本集的应用类型。

本发明与现有技术相比具有以下优点：

第一，由于本发明通过提取网络数据流的流特征进行流量识别，克服了现有技术无法识别法改变了数据包包头信息的加密流量的问题，使得本发明具有能够识别加密流量的优点。

第二，由于本发明通过构建并训练一个多层的神经网络进行流量识别，克服了现有技术在流量识别过程中所使用的深度卷积神经网络结构复杂、识别效率低的问题，使得本发明具有识别网络流量速度快的优点。

附图说明

图1是本发明的流程图。

具体实施方式

参照附图1，本发明的实现的具体步骤做进一步的描述。

步骤1，抓取网络流量数据包。

使用网络嗅探工具，在网络流量高峰时段，分别抓取有线网络环境下和无线网环境下的一段网络流量，将网络流量中的数据包组成数据包集合。

步骤2，生成网络数据流的特征集合。

将数据包集合中相同属性的数据包划分成一个小集合，作为一条网络数据流，重复选取直到将数据包集合中的所有数据划分完，最终得到由多条网络数据流组成的网络数据流集合。

所述数据包集合中相同属性包括：数据包的源IP地址、数据包的源端口、数据包的目的IP地址、数据包的目的端口、数据包的传输层协议五种类型。

提取每一条网络数据流中每个数据包的13种特征，将所有数据包的特征组成该条网络数据流的流特征，将所有的流特征组成流特征集合，所述的13种特征包括：数据包的传输层端口数值，数据包包头的平均长度，数据包包头的最大长度，数据包包头的最小长度，数据包的最大包长，数据包的最小包长，数据包的平均包长，数据包的平均间隔时间，数据包的最大间隔时间，数据包的最小间隔时间，数据包有效载荷的最大长度，数据包有效载荷的最小长度，数据包有效载荷的平均长度。

本发明的实施例中，流特征集合包括三条网络数据流，分别为：{80,18,20,14,104.4,370,60,0.045215,0.199805,0.000185,86.4,356,40}，{110,16.333333,20,14,67,95,60,0.021143,0.13658,0.000122,50.666667,81,40}，{21,17.5,20,14,68.916667,143,60,0.095015,0.999589,0.000244,51.416667,129,40}

步骤3，生成数据集。

从流特征集合中选取一条未选取过的流特征，对所选流特征的13种特征分别做归一化处理，将处理后的13种特征竖向组合成一个13×1的列向量，作为所选网络数据流的流量特征。

对本发明的实施例中选取的流特征归一化处理后的流量特征为：{0.216,0.049,0.054,0.038,0.282,1.0,0.162,1.222e-4,5.400e-4,5.0e-7,0.234,0.962,0.108}。

人工识别所选流特征的网络应用类型，并对所识别的网络应用类型进行独热编码，得到与所识别的网络应用类型对应的应用类型向量。

对本发明实施例中的网络应用类型独热编码后得到的应用类型向量为：[1,0,0,0,0,0]^T。

所述的网络应用类型包括：超文本传输，文件传输，电子邮件，数据库，游戏，多媒体。

所述的网络应用类型对应的应用类型向量如下：超文本传输对应[1,0,0,0,0,0]^T，文件传输对应[0,1,0,0,0,0]^T，电子邮件对应[0,0,1,0,0,0]^T，数据库对应[0,0,0,1,0,0]^T，游戏对应[0,0,0,0,1,0]^T，多媒体对应[0,0,0,0,0,1]^T。

判断是否选取完流特征集合中的流特征，若是，则执行步骤3.4，若否，执行步骤3.1。

将所有流量特征组合成流量特征集合，将所有应用类型向量组合成应用类型向量集合。

本发明实施例中，组合成的流量特征集合包括三条流量特征，分别是：{0.216,0.049,0.054,0.038,0.282,1.0,0.162,1.222e-4,5.400e-4,5.0e-7,0.234,0.962,0.108}{1.0,0.148,0.182,0.127,0.609,0.864,0.545,1.922e-4,0.001,1.109e-6,0.461,0.736,0.364}{0.147,0.122,0.140,0.098,0.482,1.0,0.420,6.644e-4,0.007,1.706e-6,0.360,0.902,0.280}。组合称的应用类型向量集合包括三条应用类型向量，分别是[1,0,0,0,0,0]^T，[0,0,1,0,0,0]^T，[0,1,0,0,0,0]^T。

步骤4，生成训练集和测试集。

在流量特征中随机选取80％的流量特征以及对应的应用类型向量，组成训练样本集。

对本发明的实施例中流量特征随机选取后的训练样本集包括两条流量特征和对应的应用类型向量，两条流量特征是：{0.216,0.049,0.054,0.038,0.282,1.0,0.162,1.222e-4,5.400e-4,5.0e-7,0.234,0.962,0.108}{1.0,0.148,0.182,0.127,0.609,0.864,0.545,1.922e-4,0.001,1.109e-6,0.461,0.736,0.364}，对应的应用类型向量是[1,0,0,0,0,0]^T，[0,0,1,0,0,0]^T。

将剩余的流量特征和对应的应用类型向量，组成测试样本集。

本发明实施例中组成的测试样本集包括一条流量特征和对应的应用类型向量，流量特征是：{0.147,0.122,0.140,0.098,0.482,1.0,0.420,6.644e-4,0.007,1.706e-6,0.360,0.902,0.280}，对应的应用类型向量是：[0,1,0,0,0,0]^T。

步骤5，构建多层神经网络。

搭建一个四层的神经网络，其结构依次是输入层→第一隐藏层→第二隐藏层→输出层。

设置神经网络中各层的参数：将输入层的神经元个数设定为13个，激活函数为ReLU函数；将第一隐藏层和第二隐藏层的神经元个数设定为8个，激活函数为ReLU函数；将输出层的神经元个数设定为6个，激活函数为softmax函数。

使用Xavier初始化方法，对神经网络中的每个神经元的参数进行初始化。

所述Xavier初始化方法步骤如下：

第一步，按照下式，计算神经网络的范围系数：

其中，α表示神经网络中所选层的范围系数，表示取平方根操作，P表示神经网络中输入层的神经元总数，C表示神经网络中输出层的神经元总数；

第二步，选取一个神经元，将(-α,α)作为取值范围，在取值范围内随机选取小数，作为所选层中所选神经元的参数；

第三步，判断是否选完神经网络中的所有神经元，若是，执行第四步，若否，执行第二步；

第四步，完成神经网络中每个神经元参数的初始化。

步骤6，训练神经网络：

将训练样本集中所有流量特征输入到多层神经网络中，经过前向传播计算方法，输出所有流量特征的预测应用类型。

利用误差公式，计算训练样本集中每条流量特征的预测应用类型与训练样本实际应用类型的损失值，所述的误差公式如下：

其中，e表示真实类别标签与预测类别标签损失值，∑表示求和操作，A_i表示预测应用类型中第i行的元素值，i＝1,2,...,6，Y_i表示实际应用类型中第i行的元素值。

判断损失值是否小于10^-1，若是，则执行步骤6.4，否则，执行步骤6.5。

将每条流量特征的损失值，按照随机梯度下降法，反向传播调整多层神经网络中每个神经元的参数，直到训练样本集所有流量特征的损失值都对多层神经网络的神经元参数进行了调整后再执行步骤6.1。

完成多层神经网络训练，得到训练好的多层神经网络。

步骤7，对测试样本集进行识别。

将测试样本集输入到训练好的多层神经网络中，得到测试样本集的应用类型。

Claims (7)

1.一种基于多层神经网络的网络应用识别方法，其特征在于，提取网络数据流的特征，搭建并训练多层神经网络，该方法的具体步骤包括：

(1)抓取网络流量数据包：

使用网络嗅探工具，在网络流量高峰时段，分别抓取有线网络环境下和无线网环境下的一段网络流量，将网络流量中的数据包组成数据包集合；

(2)生成网络数据流的特征集合：

(2a)将数据包集合中相同属性的数据包划分成一个小集合，作为一条网络数据流，重复选取直到将数据包集合中的所有数据划分完，最终得到由多条网络数据流组成的网络数据流集合；

(2b)提取每一条网络数据流中每个数据包的13种特征，将所有数据包的特征组成该条网络数据流的流特征，将所有的流特征组成流特征集合；

(3)生成数据集：

(3a)从流特征集合中选取一条未选取过的流特征，对所选流特征的13种特征分别做归一化处理，将处理后的13种特征竖向组合成一个13×1的列向量，作为所选网络数据流的流量特征；

(3b)人工识别所选流特征的网络应用类型，并对所识别的网络应用类型进行独热编码，得到与所识别的网络应用类型对应的应用类型向量；

(3c)判断是否选取完流特征集合中的流特征，若是，则执行步骤(3d)，否则，执行步骤(3a)；

(3d)将所有流量特征组合成流量特征集合，将所有应用类型向量组合成应用类型集合；

(4)生成训练集和测试集：

(4a)在流量特征中随机选取80％的流量特征以及对应的应用类型，组成训练样本集；

(4b)将剩余的流量特征和对应的应用类型，组成测试样本集；

(5)构建多层神经网络：

(5a)搭建一个四层的神经网络，其结构依次是输入层→第一隐藏层→第二隐藏层→输出层；

(5b)设置神经网络中各层的参数：将输入层的神经元个数设置为13个，激活函数为ReLU函数；将第一隐藏层和第二隐藏层的神经元个数设置为8个，激活函数为ReLU函数；将输出层的神经元个数设置为6个，激活函数为softmax函数；

(5c)使用Xavier初始化方法，对神经网络中的每个神经元的参数进行初始化；

(6)训练神经网络：

(6a)将训练样本集中所有流量特征输入到多层神经网络中，经过前向传播计算方法，输出所有流量特征的预测应用类型；

(6b)利用误差公式，计算训练样本集中每条流量特征的预测应用类型与训练样本实际应用类型的损失值；

(6c)判断每条流量特征的损失值是否小于10^-1，若是，则执行步骤(6d)，否则，执行步骤(6e)；

(6d)将每条流量特征的损失值，按照随机梯度下降法，反向传播调整多层神经网络中每个神经元的参数，直到训练样本集所有流量特征的损失值都对多层神经网络的神经元参数进行了调整后再执行步骤(6a)；

(6e)完成多层神经网络训练，得到训练好的多层神经网络；

(7)对测试样本集进行识别：

将测试样本集输入到训练好的多层神经网络中，得到最终测试样本集的应用类型。

2.根据权利要求1中所述的基于多层神经网络的网络应用识别方法，其特征在于，步骤(2a)中所述数据包集合中相同属性包括：数据包的源IP地址、数据包的源端口、数据包的目的IP地址、数据包的目的端口、数据包的传输层协议五种类型。

3.根据权利要求1中所述的基于多层神经网络的网络应用识别方法，其特征在于，步骤(2b)中所述的13种特征包括：数据包的传输层端口数值，数据包包头的平均长度，数据包包头的最大长度，数据包包头的最小长度，数据包的最大包长，数据包的最小包长，数据包的平均包长，数据包的平均间隔时间，数据包的最大间隔时间，数据包的最小间隔时间，数据包有效载荷的最大长度，数据包有效载荷的最小长度，数据包有效载荷的平均长度。

4.根据权利要求1中所述的基于多层神经网络的网络应用识别方法，其特征在于，步骤(3b)中所述的网络应用类型包括：超文本传输，文件传输，电子邮件，数据库，游戏，多媒体。

5.根据权利要求1中所述的基于多层神经网络的网络应用识别方法，其特征在于，步骤(3b)中所述的网络应用类型对应的应用类型向量如下：超文本传输对应[1,0,0,0,0,0]^T，文件传输对应[0,1,0,0,0,0]^T，电子邮件对应[0,0,1,0,0,0]^T，数据库对应[0,0,0,1,0,0]^T，游戏对应[0,0,0,0,1,0]^T，多媒体对应[0,0,0,0,0,1]^T。

6.根据权利要求1中所述的基于多层神经网络的网络应用识别方法，其特征在于，步骤(5c)中所述的Xavier初始化方法步骤如下：

第一步，按照下式，计算神经网络的范围系数：

其中，α表示神经网络中所选层的范围系数，表示取平方根操作，P表示神经网络中输入层的神经元总数，C表示神经网络中输出层的神经元总数；

第二步，选取一个神经元，将(-α,α)作为取值范围，在取值范围内随机选取小数，作为所选层中所选神经元的参数；

第三步，判断是否选完神经网络中的所有神经元，若是，执行第四步，若否，执行第二步；

第四步，完成神经网络中每个神经元参数的初始化。

7.根据权利要求1中所述的基于多层神经网络的网络应用识别方法，其特征在于，步骤(6b)中所述的误差公式如下：

其中，e表示真实类别标签与预测类别标签损失值，∑表示求和操作，A_i表示预测应用类型中第i行的元素值，i＝1,2,...,6，Y_i表示实际应用类型中第i行的元素值。