基于CNN-LSTM算法的加密恶意流量识别研究.pdfVIP

摘要

网络流量的加密传输是互联网的发展趋势之一，随着网络流量加密技术的快

速发展，恶意流量的识别在网络管理和安全方面变得越来越重要。在当前网络安

全领域下，基于深度学习的网络流量分类研究已经取得一定进展，但由于加密流

量技术的不断提高，仍存在以下问题：（1）加密恶意网络流量维度较高且数据

量逐渐增加，在处理大规模数据集时会导致存储和计算资源受到挑战，需要耗费

更多时间来完成训练。（2）与正常流量相比，恶意流量的时序和结构特征复杂，

无法充分挖掘流量数据中的深层次信息，导致分类结果存在误差。针对上述问题，

提出一种改进卷积神经网络与双向长短期记忆网络结合的恶意流量检测方法

Attention-WCNN-BiLSTM。主要研究内容如下：

(1)提出基于卷积神经网络的WCNN-LSTM加密恶意流量分类算法。针对

深度学习方法处理大批量数据时存在获取表征不足，且处理效率低下问题，该方

法首先采用双层连续卷积的方式，低层卷积负责提取局部特征，高层卷积负责整

合局部特征并提取全局特征，实现从局部到全局特征提取；其次通过引入通道混

洗和通道分片技术来实现模型的轻量化，在不降低准确率的同时尽可能提高运行

速度。

(2)提出基于注意力机制的Attention-WCNN-BiLSTM加密恶意流量分类算

法。针对恶意流量时序和结构特征复杂，存在无法充分挖掘流量数据中的深层次

信息的问题，该方法通过矩阵相乘和矩阵拼接实现注意力机制，动态调整输入参

数，并与双向循环神经网络（BiLSTM）结合，充分有效地获取语义间关系信息，

防止特征丢失，同时使用PRLU激活函数增强模型的非拟合能力。

(3)提出采取并行结构代替原始串行结构。针对恶意流量数据量较大，且实

时性较强的问题，该方法通过使用更小的卷积核，采取并行结构同时处理多个数

据，显著提高模型的吞吐量，根据硬件资源或者任务需求调整并行结构的规模和

拓扑结构，能够更好地适应不同的应用场景。

本文展开了基于深度学习的网络流量分类方法研究，实验结果表明：在公开

数据集上，针对加密恶意SSL/TLS流量，该方法在二分类实验上的准确率达到

了94.7%，该方法不仅在CNN、CNN-LSTM等网络模型上对多个恶意家族流量

分类准确率显著提升，而且缩短了模型的训练和计算时间，能够有效检测恶意流

量，为网络环境安全运行提供保障。

关键词：深度学习；加密恶意流量；卷积神经网络；注意力机制

I

Abstract

Encryptedtransmissionofnetworktrafficisoneofthedevelopmenttrendsofthe

Internet,andwiththerapiddevelopmentofnetworktrafficencryptiontechnology,the

identificationofmalicioustrafficisbecomingmoreandmoreimportantinnetwork

managementandsecurity.Underthecurrentnetworksecurityfield,theresearchon

networktrafficclassificationbasedondeeplearninghasmadesomeprogress,butdue

tothecontinuousimprovementofencryptedtraffictechnology,therearestillthe

followingproblems:(1)Thehigherdimensionalityofnetworktrafficandthegradual

increaseintheamountofdata,whichleadstoachallengeinstorageand

computationalresourceswhendealingwithlarge-scal