一种网络流量指纹构造方法及检测应用

本发明涉及一种网络流量指纹构造方法及检测应用，属于网络流量识别与检测。

背景技术：

1、网络流量加密逐步普及，网络流量指纹的应用越来越迫切，涉及的应用场景如下：

2、1）5g、6g核心网信令分析与安全检测，面向sbi/http2接口与信令流量的实时识别与异常检测，涵盖amf/smf/upf/nrf等核心网元协议分析，随3gpp r18/r19引入ai原生架构（nwdaf），流量指纹技术成为智能运维的基石；

3、2）iot/iiot设备行为基线建立与偏差检测。针对海量异构设备的低功耗广域通信模式（mqtt/coap/lwm2m/nb-iot）建立细粒度行为基线并实时检测偏离，支持modbus/opcua/profinet等工控协议的加密变体识别；

4、3）企业网络安全运营中心（soc）全链路可视化，面向企业内网全协议栈的可视化分析，实现内部威胁检测、数据外泄监控与apt攻击链重构，支持tls 1.3/esni/ech等新型加密协议下的应用识别。

5、4）跨机构/跨域协同威胁检测与隐私合规，在原始流量数据不出域的前提下实现多站点协同的流量指纹比对与威胁情报共享，适配《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及欧盟《通用数据保护条例》等合规约束下的联邦化安全运营需求。

6、网络流量指纹技术随网络协议加密化、链路带宽规模化持续演进，先后历经四代技术迭代，逐步从人工规则体系向端到端智能表征升级：

7、1）静态规则匹配时代：以端口映射、初代深度包检测（dpi）为核心，依托静态端口号映射与应用层明文字段正则匹配实现分类，实现逻辑简单、匹配延迟低，但完全依赖人工维护规则，在加密载荷、动态端口场景下检测能力失效。

8、2）统计建模与轻量规则时代：伴随加密协议普及，技术路线转向深度流检测（dfi），提取流级统计特征结合svm、随机森林等传统机器学习模型实现加密流量分类；同期基于布隆过滤器的组合规则方案广泛适配高速链路部署；两类方案仍受限于人工特征工程，泛化能力受专家经验边界约束。

9、3）传统机器学习深化时代：通过浅层神经网络、梯度提升树优化特征组合与筛选，一定程度降低人工设计成本，但核心仍依赖人工定义的特征空间，未能突破性能上限。

10、4）深度学习端到端表征时代：以et-bert、yatc为代表的字节级深度学习方案成为主流，直接以原始流量字节序列为输入，通过深度神经网络自动学习判别性表征，大幅弱化对人工特征工程的依赖。其中，et-bert基于transformer构建字节预训练范式，通过自监督预训练提升跨场景泛化能力；yatc优化字节分词与注意力机制，提升加密流量细分类精度。但这类纯字节方案仍存在三类结构性局限：一是纯注意力架构为o(n2)平方级复杂度，长序列、高并发场景部署成本极高；二是仅依赖单模态字节特征，对周期性行为、密码协商属性等跨模态信息捕捉不足；三是基于封闭世界假设设计，原生不具备未知流量识别与动态扩类能力。

11、传统方法依赖人工特征工程与静态规则，面对tls 1.3/ech/quic/http3等新型加密协议基本失效,传统技术存在一些缺陷：

12、1) 计算效率瓶颈，transformer自注意力的平方复杂度o(n²)在大规模实时部署中导致严重延迟与显存压力，无法满足运营商级每秒数万条流的检测需求。netmamba等第一代ssm方案虽实现线性复杂度，但在长程依赖建模质量上落后于注意力机制；

13、2) 封闭世界假设，现有方法仅能识别训练集中已知类别，面对零日攻击、新型协议与未知应用则完全失效，新型加密协议与应用不断涌现，训练数据永远滞后于真实网络环境；

14、3) 缺少后量子密码（pqc）感知能力，nist已于2024年标准化ml-kem(fips 203)、ml-dsa(fips 204)、slh-dsa(fips 205)，全球加速向pqc迁移，现有系统无法检测识别 ml-kem/kyber/sntrup761等pqc协商流量，形成巨大监审盲区；

15、4) 缺乏时域-频域深度融合机制，现有主流方案仅在时域处理流量序列，少数引入频域特征的方法也仅以频域统计独立判别，未与时域上下文深度融合，c2标间隔、botnet心跳、dns隧道等周期性模式在加密环境下依然存在且极具判别力，单一域处理无法充分利用时域证据与频域周期证据的互补性，对该类周期性恶意流量的判别能力受到根本限制。

16、当下应用场景需要为一条加密流构造出一个信息完备、可规模化生成、可比对检索、可持续扩展的“流量指纹”，目前缺少的不是某一项检测功能，而是一种将碎片化特征提取统一为完整表征体系的方法论框架，统一流量指纹正是这一框架的工程载体。

技术实现思路

1、本发明所要解决的技术问题是提供一种网络流量指纹构造方法，以多模态统一表示为信息载体，以单一线性复杂度骨干网络为构造引擎，使同一个指纹同时具备可选项缺陷内在性质，且能力组合并不是个别缺陷的孤立检测，而是同一指纹在不同检测任务上的投影，实现指纹一次构造、多处复用。

2、本发明为了解决上述技术问题采用以下技术方案：本发明设计了一种网络流量指纹构造方法，针对截取所获加密流量，按步骤a至步骤d的过程，构建待训练模型，然后经训练获得流量指纹构建模型，用于获得加密流量对应的流量指纹；

3、步骤a. 基于加密流量的明文头部、以及握手阶段明文的密码协商扩展字段与加密载荷字节，提取相对应包长序列与包间隔序列，以及进一步提取相对应字节token序列、频域峰值特征、侧信道向量；

4、步骤b. 构建包含mamba分支、flash attention分支、门控融合模块的混合时域编码器，接收加密流量对应的字节token序列，并处理输出相对应的时域指纹向量；

5、步骤c. 针对加密流量对应的频域峰值特征，经卷积降维获得频域特征向量，以频域特征向量同时作为键与值进行输入，以时域指纹向量作为查询进行输入，执行交叉注意力融合机制，获得加密流量所对应的流量指纹向量；

6、步骤d. 构建流量编码器，针对加密流量对应的侧信道向量与频域峰值特征执行映射处理，获得归一化流量嵌入，结合流量指纹向量，共同构成加密流量所对应的流量指纹。

7、作为本发明的一种优选技术方案：所述步骤a中，基于加密流量的明文头部、以及握手阶段明文的密码协商扩展字段与加密载荷字节，提取相对应包长序列与包间隔序列，以及进一步执行如下步骤a1至步骤a2，提取相对应的字节token序列、频域峰值特征、侧信道向量；

8、步骤a1. 关于字节token序列，按如下公式：

9、；

10、针对加密流量的加密载荷字节执行双字节编码，获得加密流量对应的字节token序列，其中，，表示预设获得字节token序列的长度，表示加密载荷字节中第个字节的无符号8位整数值，表示加密载荷字节中第个字节的无符号8位整数值，表示所获字节token序列中第个token的编码结果；

11、关于频域峰值特征，分别针对加密流量对应包长序列与包间隔序列，执行点快速傅里叶变换，按如下公式：

12、；

13、；

14、；

15、；

16、提取包长序列对应的频谱幅值与相位谱取值，并基于频谱幅值降序排序，顺序选取前预设个频率点分别对应的频谱幅值与相位取值；

17、以及提取包间隔序列对应的频谱幅值与相位谱取值，并基于频谱幅值降序排序，顺序选取前预设个频率点分别对应的频谱幅值与相位取值；

18、由、、、共同组合构成加密流量对应的频域峰值特征，其中，表示包长序列中第个数据包的ip总长度值，表示包间隔序列中第个包间隔值，表示虚数单位，表示离散频率索引，表示快速傅里叶变换点数，表示自然对数的底数，表示单位复指数函数值，表示取相位运算；

19、步骤a2. 关于侧信道向量，基于加密流量中各数据包的明文头部，统计对应预设各统计属性组成的统计类特征、对应预设各时序属性组成的时序类特征、对应预设各协议属性组成的协议类特征，再基于加密流量对应的频域峰值特征，统计获得相对应频域峰值特征统计，按如下公式：

20、；

21、拼接获得加密流量对应的侧信道向量。

22、作为本发明的一种优选技术方案：所述步骤b中，混合时域编码器执行如下步骤b1至步骤b2，接收加密流量对应的字节token序列，并处理输出；

23、步骤b1. 由mamba分支针对字节token序列进行基于选择性状态空间模型的线性复杂度编码，获得第一编码输出；由flash attention分支针对字节token序列进行分块注意力编码，获得第二编码输出；其中，表示实数域，表示预设获得字节token序列的长度，表示数据的特征维度；

24、步骤b2. 由门控融合模块按如下公式：

25、；

26、针对第一编码输出、第二编码输出，执行凸组合融合，获得时域指纹向量，并输出，其中，表示融合权重，表示sigmoid激活函数。

27、作为本发明的一种优选技术方案：所述步骤c包括如下步骤c1至步骤c2；

28、步骤c1. 基于加密流量对应的频域峰值特征、、、，按如下公式：

29、；

30、执行1d卷积降维，获得频域特征向量，其中，表示拼接函数，表示1d卷积函数；

31、步骤c2. 以频域特征向量同时作为键与值进行输入，以时域指纹向量作为查询进行输入，按如下公式：

32、；

33、执行交叉注意力融合机制，获得加密流量所对应的流量指纹向量；其中，表示交叉注意力融合机制函数。

34、作为本发明的一种优选技术方案：针对待训练模型训练获得流量指纹构建模型的过程中，基于已知真实类别的预设数量加密样本流量，经步骤a获得各加密样本流量分别对应的字节token序列、频域峰值特征、侧信道向量，并针对步骤b至步骤c处理过程，以混合时域编码器加交叉注意力融合机制作为主干网络，并连接闭集分类头，依据步骤b至步骤d的处理过程，按如下步骤至步骤，计算总损失，通过反向传播对混合时域编码器、交叉注意力融合机制、流量编码器进行联合训练参数优化；

35、步骤. 针对混合时域编码器所接收加密样本流量对应的字节token序列，按预设比例随机掩码，以预测还原被掩码位置的原始token值为目标，计算混合时域编码器训练过程中加密样本流量对应的重构损失，并进一步计算获得各加密样本流量的平均重构损失；其中，，表示当前训练批次中加密样本流量的总数，表示当前训练批次中第个加密样本流量的重构损失；

36、步骤. 根据闭集分类头接收加密样本流量所对应流量指纹向量，并处理输出加密样本流量所对应的第一分析类别，结合加密样本流量所对应的真实类别为监督目标，计算获得加密样本流量对应的交叉熵损失，并进一步计算获得各加密样本流量的平均交叉熵损失；其中，表示当前训练批次中第个加密样本流量的交叉熵损失；

37、步骤. 基于加密样本流量所对应真实类别经语义编码器编码映射为同维语义嵌入，针对经流量编码器所获加密样本流量对应的归一化流量嵌入，将与加密样本流量真实类别经语义编码器的同维正语义嵌入拉近、与加密样本流量真实类别经语义编码器的同维负语义嵌入推远，依据infonce对比损失，按如下公式：

38、；

39、获得加密样本流量对应的对比损失，并进一步计算获得各加密样本流量的平均对比损失，其中，表示当前训练批次中第个加密样本流量的归一化流量嵌入，表示当前训练批次中第个加密样本流量的同维正语义嵌入，表示当前训练批次中第个加密样本流量的同维负语义嵌入，表示当前训练批次中除第个加密样本流量外的其他加密样本流量的同维负语义嵌入，表示当前训练批次中第个加密样本流量的对比损失，表示余弦相似度函数，表示温度系数，表示指数函数；

40、步骤. 构建交叉注意力融合机制所对应的辅助分类器，以加密样本流量的频域特征向量为输入，经辅助分类器获得加密样本流量的第二分析类别，结合加密样本流量所对应的真实类别为监督目标，计算获得加密样本流量对应的辅助分类损失，并进一步计算获得各加密样本流量的平均辅助分类损失；其中，表示当前训练批次中第个加密样本流量的辅助分类损失；

41、步骤. 按如下公式：

42、；

43、获得总损失，其中，依次表示平均重构损失的权重系数、平均交叉熵损失的权重系数、平均对比损失的权重系数、平均辅助分类损失的权重系数。

44、与上述相对应，本发明还要解决的技术问题是提供一种基于网络流量指纹构造方法的检测应用，通过同一指纹在不同检测任务上的投影，实现指纹一次构造、多处复用。

45、本发明为了解决上述技术问题采用以下技术方案：本发明设计了一种基于网络流量指纹构造方法的检测应用，包括加密流量分类检测方法，基于经训练所获流量指纹构建模型，针对加密流量处理获得对应流量指纹，针对其中步骤b至步骤c处理过程，以混合时域编码器加交叉注意力融合机制作为主干网络，并连接闭集分类头，然后执行如下；

46、将加密流量的流量指纹向量输入闭集分类头，由闭集分类头处理并输出加密流量关于预设各类别的概率分布，再选择最大概率值所对应的类别，作为加密流量所对应的类别。

47、作为本发明的一种优选技术方案：还包括开放世界流量识别方法，由语义编码器编码映射获得各类别分别对应的同维语义嵌入，构建语义库，且相同加密流量的归一化流量嵌入与真实类别同维语义嵌入位于同一向量空间且维度相同；基于经训练所获流量指纹构建模型，针对目标加密流量处理获得对应流量指纹，获得其中目标加密流量所对应的归一化流量嵌入，并计算分别与语义库中各同维语义嵌入之间的余弦相似度，获取其中最大余弦相似度，然后判断最大余弦相似度是否大于或等于预设相似度阈值，是则以最大余弦相似度对应的类别，完成对目标加密流量的命名；否则判定目标加密流量为未知流量，并将送入在线增量聚类器，按嵌入空间预设簇合并半径进行聚类，当簇内加密流量的数量达到预设数量阈值  后，将该簇作为新类别，为该新类别分配类别标识，并经语义编码器获得对应语义嵌入，将新类别及其对应的语义嵌入加入语义库，完成类别体系的持续扩展。

48、作为本发明的一种优选技术方案：还包括后量子密码流量检测方法，基于步骤a中还包括提取加密流量对应的pqc元数据，以及基于经训练所获流量指纹构建模型，针对加密流量处理获得对应流量指纹，然后执行如下步骤a至步骤c；

49、步骤a. 解析加密流量所对应pqc元数据中的协商组标识集合，执行与预设pqc算法组标识码点数据库的匹配，pqc算法组标识码点数据库至少包含纯ml-kem算法组码点、iana混合组码点及ssh kex算法名称标识；判断协商组标识集合中是否存在与pqc算法组标识码点数据库中码点匹配成功的标识，是则标记加密流量为候选pqc协商流量，并进入步骤b；否则标记加密流量为非后量子密码协商流量，结束检测流程；

50、步骤b. 以候选pqc协商流量所有握手报文为观测窗口，统计观测窗口内各公钥长度的出现频率，并按如下公式：

51、；

52、计算公钥长度分布的香农熵，其中，表示观测窗口内第种公钥长度的出现频率；

53、步骤c. 以协商组标识集合、观测窗口内各公钥长度、香农熵为输入，应用mlp分类器处理输出后量子密码算法族识别结果。

54、作为本发明的一种优选技术方案：所述步骤b中，还包括针对香农熵分析，若，判定为单一pqc算法协商，若，则判定为混合协商或降级协商。

55、本发明所述一种网络流量指纹构造方法及检测应用，采用以上技术方案与现有技术相比，具有以下技术效果：

56、本发明设计一种网络流量指纹构造方法，首先针对加密流量进行非侵入式预处理，提取相对应四类模态互补的统一表示；接着设计由mamba与flash attention门控融合构成的混合时域编码器，处理字节token序列输出时域指纹向量；然后以时域指纹向量为查询，以频域峰值特征经卷积降维所获频域特征向量同时作为键与值，执行交叉注意力融合机制获得流量指纹向量；最后构建流量编码器，针对侧信道向量与频域峰值特征映射获得归一化流量嵌入，进而设计承载时域内容、频域行为、密码协商属性与统计特征的多模态统一指纹载体，以线性复杂度实现一次构造、多处复用；并基于流量指纹，实现加密流量分类检测、开放世界流量识别、后量子密码流量检测，在保持运营商级高并发实时处理能力的同时，全程不解密载荷，具备隐私友好属性。