一种基于自蒸馏的自适应恶意流量分类算法.docx

基于自蒸馏的自适应恶意流量分类算法 在不断发展的网络安全领域中，恶意流量分类算法扮演着关键角色。随着 5G 技术的快速发展，网络流量也井喷式产生，恶意流量给网络管理与服务带来严峻挑战，严重威胁网络安全。因此，设计一个高效的恶意流量分类算法是当前的研究热点。 本文提出了一种基于自蒸馏的自适应网络流量分类算法，该算法主要解决了两个问题：一个是流量样本分布的不均衡性特点，另一个是浅层的神经网络无法满足难样本的分类需求。 文献［1］指出网络流量分类技术作为网络安全管理系统的重要组成部分之一，而目前网络流量分类主要采用三种方法：基于端口的识别分类方法、基于深度包检测的分类方法与基于统计的分类方法。 基于端口的识别分类方法是早期的网络流量分类方法，通过数据包端口号区分网络流量类型。但是，随着互联网技术的快速发展，动态端口降低了端口识别技术的可用性［5］。 基于深度包检测的分类方法通过分析数据包是否含有网络应用所具有的独特“指纹标签”进行检测［6］。然而，对于加密网络流量，自有协议无法做到有效识别。 近年来网络流量数据日益庞大，研究者将机器学习方法引入网络流量分类工作中。文献［7］通过使用相关向量机（Relevant Vector Machine，RVM）对网络流量进行分类，实验结果表明，RVM 的性能指标优于支持向量机（Support Vector Machine，SVM）；文献［8］采用多种机器学习算法进行网络流量分类的对比实验，结果表明，决策树算法性能优于 C4.5 及 SVM 算法。 然而，机器学习方法可移植性差，针对不同的流量数据，机器学习方法需要通过人工重新提取特征并进行训练。为实现端到端的网络流量分类， 可采用深度学习技术。深度学习在目标检测［9］、自然语言处理［10］等各领域都取得了突破性进展，因此将深度学习应用于网络流量分类是当前的研究热点。 文献［11］首次提出利用一维和二维卷积神经网络用于恶意流量与普通流量分类，结果表明一维卷积神经网络分类效果更佳；文献［12］将流量数据包处理成三维数据格式，利用三维卷积神经网络对流量进行分类识别；文献［4］进一步利用卷积神经网络（Convolutional Neural Network，CNN）与循环神经网络（Recurrent Neural Network，RNN）的多种组合进行网络流量分类。 然而，网络流量样本分布的不均衡性特点导致流量样本分类具有难易差别，对于简单的流量样本，通常浅层的神经网络即能对其进行精准分类，而对于难样本，则需要更深层的网络资源。因此导致了一个问题：浅层的神经网络无法满足难样本的分类需求，而将深层网络应用于简单样本又会造成网络资源浪费，降低运算速度。 针对此问题，本文提出了一种基于自蒸馏的自适应网络流量分类算法，该算法主要有两个方面的贡献：（1）针对网络流量的时序特点，设计基于自注意力机制的流量特征提取器 SAC（Self-Attention-Convd）网络，同时引入流量的全局结点信息解决 Self-Attention 的低秩瓶颈问题。（2）设计分支网络自适应功能，通过利用主干网络的教师分类器对分支网络的学生分类器进行自蒸馏训练，使分支网络的学生分类器拟合教师分类器的概率分布，并使流量样本自适应选择网络层进行输出，以避免后续网络不必要的推理过程。 在模型方法中，本文首先对数据集进行预处理，将预处理后的流量数据作为网络模型的输入。训练阶段先训练主干网络和教师分类器，之后冻结主干网络和教师分类器参数。利用教师分类器作为软标签对各分支网络的学生分类器进行自蒸馏指导训练。测试阶段依据分支网络计算流量样本的熵值，若流量样本在该分支网络的熵值小于设定阈值，则流量样本在该分支网络提前返回；否则进入下一层网络进行判别分类，以此类推。 在数据集预处理中，本文采用公开的 USTC-TFC2016 数据集，数据集的流量格式为 pcap［11］。一般网络流量的切分方法分为 5 种：TCP 连接、流、会话、服务、主机［13］。本文使用流的切分方法，将原始网络流量切分成为五元组（源 IP、源端口、目的 IP、目的端口、传输层协议）的数据包。完整预处理流程如下：首先将原始网络流量切分成多个独立的网络流，提取每条网络流中的前 n 个数据包，同时丢弃多余数据包，若网络流不足 n 个数据包，则进行填充 0 处理，并进行流量清洗或匿名化处理 ［14］，即去掉网络协议层中的 IP 地址和 MAC 地址；其次截取每个包中前 m 个字节，并丢弃包中的多余字节，若不足m 个字节，则进行填充处理；接下来对于每条网络流共截取 n*m 个字节，在此基础上截取前 256 个字节的数据包，并将其作为网络模型的输入。 本文提出了一种基于自蒸馏的自适应网络流量分类算法，该算法可以解决网络流量样本分布的不均衡性特点和浅层神经网络无法满足难样本的分类需求的问题，是当前网络流量分类领域的研究热点。