1.一种基于跨模态特征融合的多任务加密网络流量分类方法,其特征在于,包括:
获取待识别的原始流量;
预处理所述原始流量,并获得预处理后的格式化样本;
将所述格式化样本输入至训练完成后的基于特征融合技术的多模态多任务深度神经网络,得到对于每个任务对应的预测向量;
所述基于特征融合技术的多模态多任务深度神经网络所包含的结构包括双路特征提取模块、包级别统计信息融合模块、BiGRU Layer、包级别有效载荷融合模块、流级别有效载荷信息构造层、残差卷积神经网络层、分类头;
将预处理后获得的格式化样本输入至训练完成后的基于特征融合技术的多模态多任务深度神经网络,得到所述对于每个任务对应的预测向量,其中网络将输入转化为预测的过程包括,在Cross Block中输入的payload被添加线性位置编码并扩展到两个维度后送入卷积神经网络中,所述卷积神经网络的输出为PT,其中,PT是一个包含若干32维度向量的序列,序列长度由输入的payload决定,用以提取PS的网络块由两层全连接层构成,其输入为PT,且其输出的每个PS尺寸都为32;
在H Fusion中,网络块Fh为单层全连接层,其输入维度为32+4,输出维度为24,并跟随着一个ReLU激活函数,则H Fusion将PHn和对应Headern拼合并输出24维的向量RHn;
所述H Fusion输出的每个RH向量都被输入一个BiGRU层以获得流级别的统计信息,所述BiGRU输出每个64维向量hn和与之对应的RHn被合并为尺寸为88维度的向量并输入P Fusion中的网络块Fp中,所述Fp为单层全连接层,其输入维度数为88,输出维度数为45,将Fp的输出变为3×15的矩阵,并根据PTn的真实长度进行截断再与PTn拼合获得P Fusion输出RPn,所述RPn具有宽度35;
对于Fp的输出,需要在Re‑Assamble层合并它们并添加一个维度的位置编码以构造流级别的有效载荷信息,此时其通道数为36;
通过包级别跨模态融合携带了一部分有效载荷信息的流级别统计信息[h1,...,hn]和通过包级别跨模态融合携带了一部分统计信息的流级别有效载荷的输出,利用两个类似的残差卷积神经网络层抽取流级别的信息,两个不同的残差CNN网络都是由多个残差网络块堆叠而成,输出均为128维度的向量,所述两个128维向量是提取出的流级别统计特征和流级别有效载荷特征;
在所述分类头中,融合流级别的统计特征和有效载荷特征,并给出多标签预测;
基于每个任务对应预测向量,取其中最大的值对应的分类作为加密流量在该任务上最终的分类标签。
2.如权利要求1所述的基于跨模态特征融合的多任务加密网络流量分类方法,其特征在于:所述待识别的原始流量包括,一组具有相同5元组的数据包,所述5元组包括源端口、IP地址、目的端口、IP地址和协议,以及掉换方向的数据包,即交换源、目的端口的IP地址和端口号。
3.如权利要求2所述的基于跨模态特征融合的多任务加密网络流量分类方法,其特征在于:预处理所述原始流量包括采样、无偏化预处理、数据格式转换和标准化。
4.如权利要求1~3任一所述的基于跨模态特征融合的多任务加密网络流量分类方法,其特征在于:所述采样和无偏化预处理:从所述原始流量中采样最多784字节的有效载荷和至多32个包的统计信息,采样时丢弃流量中会导致分类性能被夸大的有偏信息,即无偏化预处理。
5.如权利要求1~3任一所述的基于跨模态特征融合的多任务加密网络流量分类方法,其特征在于:所述数据格式转换指采样获得的信息不适合作为深度神经网络的输入,需要将采集到的每个有效载荷的每个字节视为[0,255]之间的值,每个包对应的统计信息四元组中的数据包的到达时间加1后取对数,再将整个四元组变为四维向量。
6.如权利要求1~3任一所述的基于跨模态特征融合的多任务加密网络流量分类方法,其特征在于:所述标准化指将每个有效载荷的每个字节对应的[0,255]之间的值除以255,使其变为[0,1]之间的值,则所述每个有效载荷变为一个不超过128维的向量。
7.如权利要求1或3所述的基于跨模态特征融合的多任务加密网络流量分类方法,其特征在于:所述预处理后的格式化样本结构包括,每个格式化样本都包含Np个来自有效载荷的不超过128维的向量,定义该信息为有效载荷,和Nh个来自统计信息的4维的向量,定义该信息为统计信息,所述Np和Nh根据采样步骤获得,由于payload和header来源和数据形式不同,因此也称为多模态异构输入,基于所述原始流量第n个包的有效载荷和统计信息,分别用payloadn和headern表示。