论文部分内容阅读
互联网作为网络信息基础性设施,在社会生产、生活中发挥着无可替代的作用,越来越多的业务采用加密技术,以规避恶意篡改和隐私泄露问题。然而同时,网络上的非法攻击也通过加密流量承载,隐藏恶意企图,增加检测难度。传统的解密检测方法面临隐私泄露的风险,检测开销巨大。本文依托于国家科技部重点研发计划“网络处理智能芯片”项目,立足深度学习算法,通过深度学习强大的特征学习能力自动捕捉藏匿于加密流量中的恶意流量特征,实现不解密条件下的加密恶意流量检测。首先,针对深度学习算法层次结构优化不够,算法与场景匹配不佳等影响检测精度的问题,构建两种典型的深度学习网络,即一维卷积神经网络(1D-CNN)和长短期记忆网络(LSTM)。对两种深度学习算法在不同类型数据集上的检测效果、各自的网络层级结构以及切片数据集中最佳的切片维度等问题展开分析研讨,结果表明,两种算法在特征数据集和切片数据集上的检测精度分别达到97%和99%以上。同时,得出1D-CNN和LSTM均采用4层网络结构检测效果最好、且二者分别适用于特征数据集和切片数据集以及切片数据集中最佳切片维度为截取前100字节等六个方面结论,并利用群同态、算法结构原理以及协议帧格式等理论对结果进行定性剖析。其次,针对单一深度学习检测模型提取特征片面,不能完整反映原始流量信息的问题,提出一种基于1D-CNN与LSTM并行融合式加密恶意流量检测模型。应用第一个研究的结论,并行网络的两条支路中均采用4层网络结构,每条支路都面向原始流量提取特征,而后将1D-CNN提取的空间特征和LSTM提取的时序特征同时送给共同的全连接层进行特征融合,最终利用融合的特征进行加密的恶意流量检测。实验结果表明,并行融合式加密恶意流量检测模型在特征数据集和切片数据集两种类型数据集上的检测精度均在99%以上,不仅优于两种单一算法检测模型,而且优于两种算法串行连接的检测模型。最后,针对网络流量数据维度变化,而传统的深度学习算法只能处理定长输入这一问题,提出一种基于1D-CPP的加密恶意流量检测模型。改进空间金字塔池化机制,并引入1D-CNN,构建一维卷积金字塔池化(1D-CPP)检测模型,使之具备处理可变长输入的能力,从而在数据预处理过程中,减少数据切片或者特征提取的环节,实现直接对原始流量进行恶意流量检测。对包含不同数量池化核的一维卷积金字塔池化检测模型进行实验,结果表明,所提出的算法在多分类检测中平均检测精度高于1D-CNN检测模型2.4%,且检测精度随着金字塔池化核数量的增加而提升。