(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111512757.5 (22)申请日 2021.12.10 (71)申请人 南京理工大 学 地址 210094 江苏省南京市孝陵卫20 0号 (72)发明人 陈浩　刘伟伟　蒋伟　权迎雪　 (74)专利代理 机构 南京理工大 学专利中心 32203 代理人 陈鹏 (51)Int.Cl. H04L 9/40(2022.01) H04L 12/46(2006.01) H04L 41/14(2022.01) H04L 43/0876(2022.01) G06N 3/08(2006.01) G06N 3/04(2006.01)G06K 9/62(2022.01) (54)发明名称 基于流量多尺度时空特征融合的VPN通信行 为分析方法 (57)摘要 本发明公开了一种基于流量多尺度时空特 征融合的VPN通信行为 分析方法， 该方法包括： 1) 按照五元组信息将待处理的连续流量切分为多 个会话流量并进行流量匿名化和服务类型标记； 2)提取会话流量转化为相应灰度图像； 3)提取会 话流量有向负载长度序列、 包间时延序列等流量 信息； 4)提取会话流量多维度统计特征信息； 5) 将提取多尺度特征信息输入多通道网络模型进 行流量服务类型识别； 6)结合流持续时间、 检测 时间等生成具有时间属性的VPN流量行为语义； 7)基于连续多 流的行为画 像。 该方法能够有效实 现VPN流量行为语义提取， 有利于对网络进行有 效监管以及VPN用户行为分析。 权利要求书3页 说明书4页 附图1页 CN 114301636 A 2022.04.08 CN 114301636 A 1.一种基于流 量多尺度时空特 征融合的VPN 通信行为分析 方法， 其特 征在于， 包括： 将待处理的连续 流量切分为多个会话 流量， 进行流 量匿名化和服 务类型标记； 提取会话 流量固定字节数信息， 并转 化为二维灰度图像； 提取会话 流量有向负载长度 序列、 包间时延序列构成时空序列特 征向量； 提取会话 流量多维度统计特 征信息； 将提取的流量多尺度时空特征信 息输入多通道网络模型进行训练， 通过特征融合学习 进行服务类型的识别； 结合流持续时间、 检测时间， 生成具有时间属性的VPN 通信行为语义； 基于连续多流的行为语义进行VPN用户行为画像。 2.根据权利要求1所述的基于流量多尺度时空特征融合的VPN通信行为分析方法， 其特 征在于， 对于待处理的连续流量根据源IP地址、 目的IP地址、 源端口、 目的端口、 协 议五元组 切分为多个会话 流量； 将会话 流量屏蔽地址匿名化后进行服 务类型标记。 3.根据权利要求1所述的基于流量多尺度时空特征融合的VPN通信行为分析方法， 其特 征在于， 提取会话流量的原始信息编 码转换为二 维灰度图像； CNN通道要求输入尺寸为固定 值， 按要求截 取会话流量前900字节原始信息； 其中对于会话长度小于900字节的情况， 在流 量后用0x0 0补全。 4.根据权利要求1所述的基于流量多尺度时空特征融合的VPN通信行为分析方法， 其特 征在于， 提取会话流量有向负载长度序列、 包间时延序列构成时空序列特征向量， 其中根据 数据包方向标记正负； 标记客户端到服务器为上行， 上行为正， 服务器到客户端为下行， 下 行为负。 5.根据权利要求4所述的基于流量多尺度时空特征融合的VPN通信行为分析方法， 其特 征在于， TCN通道要求输入尺 寸为固定值， 按要求截取会话流量前300个双向数据包负载、 包 时延序列。 6.根据权利要求1所述的基于流量多尺度时空特征融合的VPN通信行为分析方法， 其特 征在于， 提取会话流量多维度统计特征信息方法为： 根据人工流量分析经验和VPN流量特 性， 分别从时间、 空间两个维度提取28种统计信息特 征， 具体如下表所示： 表1权　利　要　求　书 1/3 页 2 CN 114301636 A 27.根据权利要求1所述的基于流量多尺度时空特征融合的VPN通信行为分析方法， 其特 征在于， 多尺度时空特征融的服务类型识别方法为： 将提取出的流量多尺度时空特征信息 分别输入到卷积神经网络、 时间卷积网络、 堆叠式自动编 码器中进行多通道特征提取， 并将 三通道提取出的特征融合为新的高维度特征并利用softmax分类器进 行流量服务类型的识 别。权　利　要　求　书 2/3 页 3 CN 114301636 A 3