一种基于四元数卷积神经网络的加密流量识别方法及装置

1.本发明涉及网络安全技术领域，具体涉及一种基于四元数卷积神经网络的加密流量识别方法及装置。


背景技术：

2.随着人们对隐私保护和数据安全的需求日益增长，越来越多的个人和企业选择使用加密机制对流量进行加密传输，以提高流量传输的安全性。网络通信加密化已成为不可阻挡的趋势，加密网络流量呈现爆炸增长。但也有越来越多的网络攻击开始采用加密恶意流量伪装成正常网络流量的手段进行通信。对加密网络流量进行有效地监测和识别，以提高网络的服务质量、加强网络的管理以及保障数据的安全性显得十分重要。
3.现有的传统网络流量分类方法可以分为以下四类：基于端口号的方法：在早期发展中，每一个网络应用都会被指定固定的端口号。例如，ssl协议相关应用使用80端口，telnet远程终端协议相关应用使用23端口等。这种分类方法的原理非常简单，只需要读取网络数据流中的第一个数据包即可成功识别，识别效率非常高而具体实现又极为简单。但是，随着技术的不断发展，该方法不适用于非标准端口或新定义的端口，动态端口技术的出现导致基于端口的流量识别方法准确率开始下降。
4.基于有效载荷的深度包检测（deep packet inspection，dpi）方法：该方法是通过匹配数据分组的有效载荷的表达式来对流量进行识别，可以有效避免上述动态端口等带来的问题。但是近年来，越来越多的应用程序在传输数据时使用加密通信，给这种流量分类方法也带来了极大挑战。
5.基于统计特征的方法：该方法是通过将网络流量特征输入机器学习模型，由模型输出识别结果，虽然这种方法不依赖数据包有效载荷的解析，但是输入模型的网络流量特征需要人工提取，需要耗费大量的人力资源，导致识别效率低且准确度低。
6.基于深度学习的方法：该方法是将数据包字节转换成灰度图的形式作为输入，使用卷积神经网络对数据包负载内容进行分类。这种方法虽然取得了较好的分类效果并且被广泛应用，但是基于灰度图的流量分类方法可解释性较差，该方法是将字节之间的关系与图像像素之间类比并且现有深度学习方法需要采用固定长度序列作为模型输入进行检测，无法识别数据包较短的加密流量，导致识别结果不准确。
7.因此，需要一种新的加密流量识别技术。


技术实现要素：

8.发明目的：本发明的目的是提供一种基于四元数卷积神经网络的加密流量识别方法及装置，以较低的运算成本解决加密网络流量难以准确识别的问题。
9.技术方案：第一方面，本发明提供一种基于四元数卷积神经网络的加密流量识别方法，包括以下步骤：采集数据，得到流量数据集；
对数据进行预处理，包括对流量进行切分、去除不相关数据、数据包统一化处理；提取每条流中指定数量数据包的负载长度、到达时间间隔、方向和传输协议四个特征并对特征进行归一化；在四元数空间中嵌入归一化后的数据，将特征表示成四元数矩阵形式；将所述四元数矩阵作为输入数据，送入四元数卷积神经网络模型，获得加密流量识别结果，所述四元数卷积神经网络模型中的卷积操作定义为：，其中w＝r+xi+yj+zk为四元数权值滤波矩阵，xp＝r+xi+yj+zk为四元数输入向量，r、x、y、z是输入的四个特征，即数据包负载长度、到达间隔时间、方向和传输协议特征，r、x、y、z为四个特征对应滤波器的卷积核大小，i，j，k是四元数的虚数单位基，表示卷积运算。
10.第二方面，本发明提供一种基于四元数卷积神经网络的加密流量识别装置，包括：数据采集模块，用于采集数据，得到流量数据集；数据预处理模块，用于对数据进行预处理，包括对流量进行切分、去除不相关数据、数据包统一化处理；特征提取模块，用于提取每条流中指定数量数据包的负载长度、到达时间间隔、方向和传输协议四个特征并对特征进行归一化；四元数表示模块，用于在四元数空间中嵌入归一化后的数据，将特征表示成四元数矩阵形式；四元数卷积神经网络识别模块，用于将所述四元数矩阵作为输入数据，送入四元数卷积神经网络模型，获得加密流量识别结果，所述四元数卷积神经网络模型中的卷积操作定义为：，其中w＝r+xi+yj+zk为四元数权值滤波矩阵，xp＝r+xi+yj+zk为四元数输入向量，r、x、y、z是输入的四个特征，即数据包负载长度、到达间隔时间、方向和传输协议特征，r、x、y、z为四个特征对应滤波器的卷积核大小，i，j，k是四元数的虚数单位基，表示卷积运算。
11.第三方面，本发明还提供一种计算机设备，包括：一个或多个处理器；存储器；以及一个或多个程序，其中所述一个或多个程序被存储在所述存储器中，并且被配置为由所述
一个或多个处理器执行，所述程序被处理器执行时实现如本发明第一方面所述的基于四元数卷积神经网络的加密流量识别方法的步骤。
12.第四方面，本发明还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如本发明第一方面所述的基于四元数卷积神经网络的加密流量识别方法的步骤。
13.与现有技术相比，本发明的有益效果为：本发明的基于四元数卷积神经网络的加密流量识别方法，创新地将流量识别输入由以往灰度图的形式转换成四元数的形式。在四元数的数学框架下将传统标量卷积神经网络拓展为超复数卷积神经网络，通过结合各特征通道之间的相关性使得加密流量的特征描述更为精确，分类也更为准确。本发明的方法可以在复杂的网络环境下，仅使用每个流前16个数据包的四个特征就可以达到97%的准确性，无需针对不同分类任务设计不同特征，减少了模型参数量，降低了计算开销，适用于在线分类平台。
附图说明
14.图1为本发明实施例中基于四元数卷积神经网络的加密流量识别方法流程图；图2为本发明实施例中四元数整体卷积过程示意图；图3为本发明实施例中模型训练验证流程图；图4为本发明实施例中各模型测试对比结果图。
具体实施方式
15.下面将结合附图对本发明实施例中的技术方案进行清楚、完整的描述。
16.参照图1，本发明提供的一种基于四元数卷积神经网络的加密流量识别方法，包括以下步骤：步骤1：数据采集，得到流量数据集。
17.本发明旨在实现利用四元数卷积神经网络来识别加密流量，对神经网络的应用一般需要事先用训练数据集通过训练得到网络模型。相应地，数据采集步骤包括两种情况，一种是采集用于训练的流量数据，一种是采集待识别的网络流量。根据本发明的实施方式，在训练阶段输入的流量数据均是由wireshark工具在真实环境中获取。通过wireshark软件捕捉各种加密和非加密流量，生成相应的pcap文件，并对所述pcap文件进行人工标注，标注标签分为加密和非加密，获得用于训练的流量数据集。在应用阶段，由wireshark工具在真实环境中获取流量，生成pcap文件。
18.步骤2：数据预处理，包括对流量进行切分、去除不相关数据、数据包统一化处理。
19.流量切分：基于深度学习的流量分类方法需要首先按照一定粒度将连续流量切分为多个离散单元。针对原始加密数据流文件，即pcap包，首先通过流量切分工具根据其五元组信息（即源ip地址、源端口号、目的ip地址、目的端口号、传输层协议），将原始数据流切割为各个独立的单元。流量切分一般有两种标准方式：一种为流，另一种为会话。流，是指具有相同五元组（源ip、源端口、目的ip、目的端口、传输层协议）的所有包。会话，是指由双向流组成的所有包，即五元组中的源和目的可以互换。按流切分，是指按照五元组信息将连续的流量集合划分为多个子集合，每个子集合内的包按照时间顺序排列，将其称为一个流；按会
话切分，是指按照五元组信息将从源ip到目的ip、从源端口到目的端口方向相同以及相反的数据包提取出来，按照时间顺序排列，将其称为一个会话。
20.优选的，本发明采用切割成会话的形式，因为其考虑了流的双向性信息，所以包含的信息更能代表原始数据流的特征。使用动态窗口对各个独立的单元进行切分，对于切分后的子流进行采样，获得带有序列关系的子流。
21.去除不相关数据：即去除影响模型预测或有效载荷为空的数据包。真实环境中的流量会包含一些用于tcp建立、断开连接的数据包，比如包含syn、ack或fin标志位的数据包，还有一些用于域名解析的数据包和有效载荷为空的数据包，这些数据包对于流量分类是不起作用的，反而会影响分类准确性，所以需要去除，得到初始加密流量数据集。
22.数据统一：对初始加密流量数据集中的流量数据进行数据截断或填充处理，以使任一加密流量数据的数据包数量一致。
23.应理解，在训练阶段和应用阶段都需要做上述预处理工作。
24.步骤3：提取每条流中指定数量数据包的负载长度、到达时间间隔、方向和传输协议四个特征并对特征进行归一化。
25.根据本发明的实施方式，提取每条流前16个数据包的负载长度、到达时间间隔、方向和传输协议四个特征。
26.对于数据包负载长度，最大选择为1500字节。如果大于或等于1500字节则将数据包负载长度设置为1，将其余小于1500字节的数据包负载长度除以1500进行归一化，即将数据包负载长度特征值划分至[0,1]范围之内。
[0027]
对于数据包到达时间间隔，其最大值设置为1秒，如果实际到达时间间隔大于或等于1秒，则将到达间隔时间设置为1，如果小于1秒则保留以秒计的小数形式。这样处理可以保证数据包到达时间间隔特征值在[0,1]范围之内。
[0028]
对于方向，以该条流中第一个数据包的方向（即，是从源ip到目的ip，还是从目的ip到源ip）为基准，与其相同的数据包方向特征值设置为0，否则为1。
[0029]
对于传输协议，将协议为udp的报文的传输协议特征值设置为0，将协议为tcp的报文的传输协议特征值设置为1。
[0030]
通过归一化处理使得每种特征的输入大小都在[0，1]的范围之内。
[0031]
步骤4：在四元数空间中嵌入归一化后的数据，将特征表示成四元数矩阵形式。
[0032]
本发明将归一化后的四种特征数据组成四元数矩阵，以进入四元数卷积神经网络模型进行卷积操作。在本发明中，选择了标准四元数表示方式，即，其中r，x，y，z是实部和三个虚部的系数。r是四元数的实部，是四元数的虚部。1，i，j，k是四元数单位基。
[0033]
根据本发明的实施方式，将归一化后的数据包负载长度对应四元数的实部，将归一化后的到达间隔时间、方向和传输协议特征对应四元数的三个虚部。需要说明的是，到达间隔时间、方向和传输协议特征与三个虚部x，y，z并不一定是固定对应的关系，例如，可以是到达间隔时间对应x，方向对应y，传输协议对应z，也可以是达间隔时间对应y，方向对应z，传输协议对应x，或者是其他对应关系，本发明对此不做限制。在本发明中采用了一种基于四元数理论的嵌入方式，即将数据包对应的特征表示为，也可以表示
为向量的形式：，数据包的四元数表示排列成一个矩阵，就构成了一个四元数矩阵。因此，一个流量样本可表示为一个四元数矩阵。
[0034]
步骤5：将所述四元数矩阵作为输入数据，送入四元数卷积神经网络模型，获得加密流量识别结果。
[0035]
本发明在卷积神经网络模型基础上，建立四元数卷积神经网络模型。卷积核扩展为四元数卷积核；输入数据为四元数矩阵，经过三层四元数卷积层后，最终经过全连接层，即为四元数卷积神经网络模型。即，本发明实施例中的四元数卷积神经网络模型由三个四元数卷积层、三个relu层、三个批标准化（bn）层以及一个全连接层组成。图2示出了本发明实施例中四元数整体卷积过程，可以看出对输入的四个通道特征进行4次卷积操作后，分别生成了4个通道的新特征图(mk1,mk2,mk3,mk4)，最后经过进一步的整合计算，就可以得到四元数卷积层输出的深度特征。通过将输入数据和卷积核均扩展为四元数，利用四元数性质进行前向传播，训练整个四元数卷积神经网络。
[0036]
四元数卷积原理为：四元数卷积神经网络的输入数据为四元数矩阵，矩阵的每一行均为一个四元数向量，卷积核同样为四元数形式。设w＝r+xi+yj+zk为四元数权值滤波矩阵，xp＝r+xi+yj+zk为四元数输入向量。在实值空间中定义了卷积过程：，因此可以表示为矩阵形式：，其中，表示卷积运算，r、x、y、z是输入的四个特征，即数据包负载长度、到达间隔时间、方向和传输协议特征，r、x、y、z为四个特征对应滤波器的卷积核大小。r'、x'、y'、z'代表了经过卷积后新生成的特征向量。
[0037]
具体地，通过将卷积层、relu层、bn层和全连接层的叠加，形成一个完整的卷积神经网络：第一卷积层-第一relu层-第一bn层-第二卷积层-第二relu层-第二bn层-第三卷积层-第三relu层-第三bn层-全连接层。
[0038]
其中，卷积层为四元数二维卷积，即操作，本发明用qconv2d表示；激活函数relu如公式(1)所示：
ꢀꢀꢀꢀꢀꢀ
(1)，批标准化如公式(2)所示：
ꢀꢀꢀꢀꢀꢀ
(2)，式中是某个神经元原始激活值，为经过标准化操作后的规范值；和分别是均值和方差，和是两个学习参数，用于将归一化后的数据放大并平移回非线性区域。
[0039]
训练所用的损失函数如公式(3)所示，其中表示当前迭代轮次的预测为正例的概率，s为真实值即标签值，本发明中标签值为0或1：
ꢀꢀꢀꢀꢀꢀꢀ
(3)。
[0040]
本发明实施例中设置模型dropout为0.7。
[0041]
本发明实施例中四元数卷积神经网络模型主要参数设置如表1所示。
[0042]
表1 四元数卷积神经网络模型参数设置网络层操作输入卷积核步长填充输出1qconv2d+relu+bn4*4*43*31same32*4*42qconv2d+relu+bn32*4*43*31same64*4*43qconv2d+relu+bn64*4*43*31same128*4*44全连接+dropout128*4*4nullnullnone2对建立的四元数卷积神经网络模型进行训练，通过参数寻优确定所述四元数卷积神经网络模型中参数的最优值。
[0043]
如图3所示，其示出了本发明实施例中模型训练验证流程图，说明：图3中示出的quaternionconv2d、2quaternionconv2d、3quaternionconv2d、linear分别对应表1中的1-4层网络层。该模型训练过程包括：将数据包的负载长度、到达间隔时间、方向和传输协议组成的四元数矩阵及对应的真实标签值划分为训练集、验证集和测试集，分类比例为8:1:1；利用训练集训练所述四元数卷积神经网络模型，通过参数寻优，得到最优参数，确定模型参数；参数至少包括：四元数卷积核的个数、学习率的大小、全连接层神经元的个数。利用验证集验证四元数卷积神经网络模型的性能；利用测试集测试四元数卷积神经网络模型，使用准确率、精度、召回率和f1-score作为模型的评价指标。表2示出了不同神经元数目下模型指标。
[0044]
表2 不同神经元数目下模型指标神经元个数准确率f1-score1280.95740.95665120.96010.959210240.97110.970820480.96560.965240960.96420.9638通过对比实验，将本发明的模型和其他分类模型的分类结果进行比较，图4示出了本发明实施例中各模型测试对比结果图，表3给出了各模型的测试性能。可以看出，本发明
的模型会达到比其他分类模型更高的性能和精准率。
[0045]
表3 各模型测试对比结果方法准确率精度召回率f1-scoresae0.94510.94430.94510.9445cnn0.94770.94730.94770.9463lstm0.93120.93110.93120.9306cnn-lstm0.95320.95440.95320.9516qcnn（本发明）0.97110.97090.97110.9708本发明的基于四元数卷积神经网络的加密流量识别方法，创新地将流量识别输入由以往灰度图的形式转换成四元数的形式。在四元数的数学框架下将传统标量卷积神经网络拓展为超复数卷积神经网络，通过结合各特征通道之间的相关性使得加密流量的特征描述更为精确，分类也更为准确。本发明的方法可以在复杂的网络环境下，仅使用每个流前16个数据包的四个特征就可以达到97%的准确性，无需针对不同分类任务设计不同特征，减少了模型参数量，降低了计算开销，适用于在线分类平台。
[0046]
基于和方法实施例同样的技术构思，本发明还提供一种基于四元数卷积神经网络的加密流量识别装置，包括：数据采集模块，用于采集数据，得到流量数据集；数据预处理模块，用于对数据进行预处理，包括对流量进行切分、去除不相关数据、数据包统一化处理；特征提取模块，用于提取每条流中指定数量数据包的负载长度、到达时间间隔、方向和传输协议四个特征并对特征进行归一化；四元数表示模块，用于在四元数空间中嵌入归一化后的数据，将特征表示成四元数矩阵形式；四元数卷积神经网络识别模块，用于将所述四元数矩阵作为输入数据，送入四元数卷积神经网络模型，获得加密流量识别结果，其中所述四元数卷积神经网络模型包括三个四元数卷积层、三个relu层、三个批标准化层和一个全连接层，所述四元数卷积层的卷积过程表示为：，其中w＝r+xi+yj+zk为四元数权值滤波矩阵，xp＝r+xi+yj+zk为四元数输入向量，r、x、y、z是输入的四个特征，即数据包负载长度、到达间隔时间、方向和传输协议特征，r、x、y、z为四个特征对应滤波器的卷积核大小，i，j，k是四元数的虚数单位基。
[0047]
应理解，本发明实施例中的基于四元数卷积神经网络的加密流量识别装置可以实现上述方法实施例中的全部技术方案，其各个功能模块的功能可以根据上述方法实施例中的方法具体实现，其具体实现过程可参照上述实施例中的相关描述，此处不再赘述。
[0048]
本发明还提供一种计算机设备，包括：一个或多个处理器；存储器；以及一个或多个程序，其中所述一个或多个程序被存储在所述存储器中，并且被配置为由所述一个或多个处理器执行，所述程序被处理器执行时实现如上所述的基于四元数卷积神经网络的加密流量识别方法的步骤。
[0049]
本发明还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如上所述的基于四元数卷积神经网络的加密流量识别方法的步骤。
[0050]
本领域内的技术人员应明白，本发明的实施例可提供为方法、装置、计算机设备或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、cd-rom、光学存储器等）上实施的计算机程序产品的形式。
[0051]
本发明是参照根据本发明实施例的方法的流程图来描述的。应理解可由计算机程序指令实现流程图中的每一流程以及流程图中的流程的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程中指定的功能的装置。
[0052]
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程中指定的功能。
[0053]
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程中指定的功能的步骤。

技术特征：
1.一种基于四元数卷积神经网络的加密流量识别方法，其特征在于，包括以下步骤：采集数据，得到流量数据集；对数据进行预处理，包括对流量进行切分、去除不相关数据、数据包统一化处理；提取每条流中指定数量数据包的负载长度、到达时间间隔、方向和传输协议四个特征并对特征进行归一化；在四元数空间中嵌入归一化后的数据，将特征表示成四元数矩阵形式；将所述四元数矩阵作为输入数据，送入四元数卷积神经网络模型，获得加密流量识别结果，所述四元数卷积神经网络模型中的卷积操作定义为：，其中w＝r+xi+yj+zk为四元数权值滤波矩阵，xp＝r+xi+yj+zk为四元数输入向量，r、x、y、z是输入的四个特征，即数据包负载长度、到达间隔时间、方向和传输协议特征，r、x、y、z为四个特征对应滤波器的卷积核大小，i，j，k是四元数的虚数单位基，表示卷积运算。2.根据权利要求1所述的方法，其特征在于，所述流量切分包括：利用流量切分工具，根据流量的五元组信息将原始流量切割为多个独立的单元，所述五元组包括数据包的源ip地址、源端口号、目的ip地址、目的端口号、传输层协议；所述去除不相关数据包括：去除用于tcp连接建立和断开的数据包、用于域名解析的数据包以及有效载荷为空的数据包；所述数据统一化包括：对流量进行数据截断或填充处理，以使任一流量的数据包数量一致。3.根据权利要求2所述的方法，其特征在于，根据流量的五元组信息将原始流量切割为多个独立的单元包括：按照五元组信息将从源ip到目的ip、从源端口到目的端口方向相同以及相反的数据包提取出来，按照时间顺序排列。4.根据权利要求1所述的方法，其特征在于，提取每条流中指定数量数据包的负载长度、到达时间间隔、方向和传输协议四个特征包括：获取每个数据包的负载长度，将大于或等于1500字节的数据包负载长度特征值设置为1，将小于1500字节的数据包负载长度特征值设置为数据包负载长度除以1500的小数值；获取每个数据包的到达时间间隔，将到达时间间隔大于或等于1秒的数据包的到达间隔时间特征值设置为1，将到达时间间隔小于1秒的数据包的到达间隔时间特征值设置为以秒计的到达时间间隔；获取每个数据包的方向，将与第一个数据包方向相同的数据包的方向特征值设置为0，否则为1；获取每个数据包的传输协议，将传输协议为udp的数据包传输协议特征值设置为0，将传输协议为tcp的数据包传输协议特征值设置为1。5.根据权利要求1所述的方法，其特征在于，在四元数空间中嵌入归一化后的数据，将
特征表示成四元数矩阵形式包括：根据标准四元数表示方式将每一个数据包对应的特征表示为，转换为向量的形式，将数据包的四元数表示排列成一个矩阵，构成一个四元数矩阵。6.根据权利要求1所述的方法，其特征在于，所述四元数卷积神经网络模型包括三个四元数卷积层、三个relu层、三个批标准化层和和一个全连接层，四元数卷积层的卷积过程的矩阵形式为：，r'、x'、y'、z'代表了经过卷积后新生成的特征向量。7.根据权利要求1所述的方法，其特征在于，所述四元数卷积神经网络模型是经过训练得到的，训练过程包括：将数据包的负载长度、到达间隔时间、方向和传输协议组成的四元数矩阵及对应的真实标签值划分为训练集、验证集和测试集，利用训练集训练所述四元数卷积神经网络模型，通过参数寻优，得到最优参数，确定模型参数；利用验证集验证四元数卷积神经网络模型的性能；利用测试集测试四元数卷积神经网络模型。8.一种基于四元数卷积神经网络的加密流量识别装置，其特征在于，包括：数据采集模块，用于采集数据，得到流量数据集；数据预处理模块，用于对数据进行预处理，包括对流量进行切分、去除不相关数据、数据包统一化处理；特征提取模块，用于提取每条流中指定数量数据包的负载长度、到达时间间隔、方向和传输协议四个特征并对特征进行归一化；四元数表示模块，用于在四元数空间中嵌入归一化后的数据，将特征表示成四元数矩阵形式；四元数卷积神经网络识别模块，用于将所述四元数矩阵作为输入数据，送入四元数卷积神经网络模型，获得加密流量识别结果，所述四元数卷积神经网络模型中的卷积操作定义为：，其中w＝r+xi+yj+zk为四元数权值滤波矩阵，xp＝r+xi+yj+zk为四元数输入向量，r、x、y、z是输入的四个特征，即数据包负载长度、到达间隔时间、方向和传输协议特征，r、x、y、z为四个特征对应滤波器的卷积核大小，i，j，k是四元数的虚数单位基，表示卷积运算。9.一种计算机设备，其特征在于，包括：一个或多个处理器；
存储器；以及一个或多个程序，其中所述一个或多个程序被存储在所述存储器中，并且被配置为由所述一个或多个处理器执行，所述程序被处理器执行时实现如权利要求1-7中任一项所述的基于四元数卷积神经网络的加密流量识别方法的步骤。10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-7中任一项所述的基于四元数卷积神经网络的加密流量识别方法的步骤。

技术总结
本发明公开了一种基于四元数卷积神经网络的加密流量识别方法及装置。所述方法包括：采集数据；对数据进行预处理；提取每条流中指定数量数据包的负载长度、到达时间间隔、方向和传输协议四个特征并进行归一化；在四元数空间中嵌入归一化数据表示成四元数矩阵形式；将四元数矩阵送入四元数卷积神经网络模型，获得加密流量识别结果，其中四元数卷积神经网络模型将输入数据和卷积核均扩展为四元数，利用四元数性质进行前向传播进行训练。本发明将流量识别输入由灰度图的形式转换成四元数的形式，在四元数的数学框架下将传统标量卷积神经网络拓展为超复数卷积神经网络，结合各特征通道之间的相关性使得加密流量的特征描述更精确，分类也更为准确。分类也更为准确。分类也更为准确。


技术研发人员：孙文茜 翟江涛 刘光杰
受保护的技术使用者：南京信息工程大学
技术研发日：2023.08.14
技术公布日：2023/9/13