(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202211043347.5 (22)申请日 2022.08.29 (71)申请人 北京邮电大 学 地址 100876 北京市海淀区西土城路10号 (72)发明人 刘军　李鉴学　肖扬　吴家威　 刘芳　周文莉　 (74)专利代理 机构 北京金咨知识产权代理有限 公司 11612 专利代理师 薛海波 (51)Int.Cl. G06N 3/04(2006.01) G06N 3/08(2006.01) H04L 9/40(2022.01) (54)发明名称 网络流量特征序列生成模型的训练方法、 生 成方法及装置 (57)摘要 本发明提供一种网络流量特征序列生成模 型的训练方法、 生成方法及装置， 针对网络流量 的包含基础特征、 数据包特征、 时间特征和恶意 流量特征的特征序列进行仿真， 能够关注到应用 层数据的特征。 基于生成对抗网络进行无监督学 习， 简化了配置工作， 提高了对网络流量特征序 列进行仿真的效率。 其中， 基于强化学习构建生 成器， 能够提高对网络特征仿真的泛化能力， 以 适应更复杂的网络环境。 采用蒙特卡洛学习构建 生成器能够提高生成器的泛化能力。 采用 Wasserstein  Loss作为生成器的损失函数， 能够 免生成对抗网络中常见的过拟合和模式崩溃问 题。 权利要求书2页 说明书8页 附图3页 CN 115496180 A 2022.12.20 CN 115496180 A 1.一种网络流 量特征序列生成模型的训练方法， 其特 征在于， 该 方法包括以下步骤： 获取指定多个网络设备的真实网络流量， 并以数据包序列的形式记录为第 一设定格式 文件； 采用预设工具提取各网络设备之间所述网络流量的特征序列并记录为第二设定格式 文件， 所述特 征序列包括基础特 征、 数据包特 征、 时间特 征和恶意 流量特征； 获取生成对抗网络初始模型， 所述生成对抗网络初始模型包括生成器和判别器， 所述 生成器为单层门控那个循环单元， 所述判别器为双层门控循环单元； 以各网络设备之间仿 真网络流量的特征序列作为状态空间， 以要生成的所述仿 真网络流量的特征序列作为动作 空间， 通过所述生成器建立所述状态空间到所述动作空间的映射更新动作 空间， 将所述动 作空间添加至所述状态空间以更新状态空间， 从所述判别器获取所述仿真 网络流量的特征 序列的期望评估作为奖励， 通过强化学习的方式生成仿真网络流量的特征序列； 所述判别 器用于计算所述仿 真网络流量或真实网络流量的特征序列对应的期望评估， 并进 行真伪判 断； 基于生成对抗交替训练所述生成器和所述判别器， 基于生成对抗损失对所述生成器和 所述判别器进行迭代更新， 将迭代更新得到的所述生成器作为网络流量特征序列生成模 型。 2.根据权利要求1所述的网络流量特征序列生成模型的训练方法， 其特征在于， 获取指 定的多个网络设备的网络流 量， 并以数据包序列的形式记录为第一设定格式文件， 包括： 部署tcpdump网络流量监控软件， 收集指定多个网络设备的真实网络流量， 所述网络设 备包括边界网关、 交换机、 路由器和用户终端设备； 所述第一设定格式文件为PCAP格式文 件。 3.根据权利要求1所述的网络流量特征序列生成模型的训练方法， 其特征在于， 采用预 设工具提取各网络设备之间所述网络流量的基础特征、 数据包特征、 时间特征和恶意流量 特征并记录为第二设定格式文件， 包括： 采用Argus工具和Bro ‑IDS工具提取各网络设备之间所述网络流量的基础 特征、 数据包 特征、 时间特 征和恶意 流量特征； 所述第二设定格式文件为CSV格式文件。 4.根据权利要求1所述的网络流量特征序列生成模型的训练方法， 其特征在于， 基于生 成对抗损失对所述 生成器和所述判别器进行迭代更新， 包括： 所述生成器采用Adam作为优化器， 并采用Wasserstein损失作为损失函数进行参数更 新迭代。 5.根据权利要求1所述的网络流量特征序列生成模型的训练方法， 其特征在于， 基于生 成对抗损失对所述 生成器和所述判别器进行迭代更新， 包括： 所述判别器采用Adagrad作为优化器进行迭代， 并采用对所述仿真网络流量或真实网 络流量的特征序列的判别损失进行参数 更新迭代。 6.根据权利要求1所述的网络流量特征序列生成模型的训练方法， 其特征在于， 所述生 成器采用蒙特卡洛学习的形式。 7.根据权利要求6所述的网络流量特征序列生成模型的训练方法， 其特征在于， 所述基 础特征至少包括所述网络流量的源节点信息、 目标节点信息和传输协议； 所述数据包特征 至少包括源到目标数据包计数和平均大小、 目标到源数据包计数和平均大小、 源到目标丢权　利　要　求　书 1/2 页 2 CN 115496180 A 2失的包数量以及目标到源丢失的包数量； 所述时间特征至少包括源节点的抖动时长、 目标 节点的抖动时长、 数据包存活时间、 数据包传输时延、 数据包传输起始时间和终止时间； 所 述恶意流量特征至少包括恶意 流量的类型 标签。 8.一种网络流 量特征序列生成方法， 其特 征在于， 包括： 获取关于 仿真网络流 量空白的初始特 征序列； 将所述初始特征序列组作为状态参数输入如权利要求1至7任意一项所述网络流量特 征序列生成模型的训练方法中的网络流量特征序列生成模型， 以输出期望生成的所述仿真 网络流量的更新特征序列， 将所述更新特征序列添加至所述初始特征序列形成新的状态参 数， 重复操作以得到 仿真网络流 量的仿真特 征序列。 9.一种电子设备， 包括存储器、 处理器及存储在存储器上并可在处理器上运行的计算 机程序， 其特征在于， 所述处理器执行所述程序时实现如权利要求1至8任一项所述方法的 步骤。 10.一种计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 该程序被处理器 执行时实现如权利要求1至8中任一项所述方法的步骤。权　利　要　求　书 2/2 页 3 CN 115496180 A 3