流量分类可以检测流量的来源,可用于网络管理和网络安全。近年来加密流量识别领域研究中广泛使用的流统计特征易引发漂移问题,随着时间和地理等因素的改变,分类准确率会明显发生降低。标准web服务的兴起导致服务耦合现象加剧,移动端加密家族应用流量的识别因此会产生分类歧义问题。对于包含标准web服务的移动端家族应用,分类准确率将会严重下降。一些相关研究的结果表明相同的应用分类模型在对普通应用分类效果超过80%的情况下,对一些家族应用的分类效果却仅有20%,个别家族应用的分类准确率仅为0%。因此,如何有效地分类包含大量标准web服务的家族应用具有重要意义。针对以上问题,本文引入了循环神经网络和集成学习思想,提出一种新的加密流量分类与家族应用识别方法。本文的研究主要包括以下几点内容:（1）提出了基于TLS流序列神经网络的加密流量分类方法TFSN。TFSN方法主要依据双向LSTM层提取二维流序列特征,并通过注意力层加强学习到的特征,以此来提高分类性能。该方法能根据输入的流序列自动学习特征并完成流量分类,无需人工干预和提取特征,因此能节约大量人力,并且非常适合对大规模网络流量进行分类。实验结果表明,本文提出的TFSN方法能够准确地完成对加密流的分类,准确率达到98%以上。（2）在TFSN方法的基础上,提出了两类移动端家族应用识别方法。包括基于序列特征的家族应用直接识别方法和基于web服务识别的家族应用间接分类方法。前者主要基于长序列特征使用TLS流序列神经网络模型直接进行家族应用分类,这类方法由于家族应用中部分标准web服务流量具有高度相似的加密信息内容和长度,从而导致了很大的分类误差。后一种方法考虑到了前一种方法存在的局限性,将整体应用流量拆解分开来避免可能的分类误差。由于服务耦合现象存在于各类家族应用流量之间,因此可以通过将流量精细化分类为服务,再根据应用流量中所包含的服务存在差异来识别和推测最为可能的家族应用。基于web服务识别的应用分类模型对家族应用数据集的分类结果表明,对20类家族应用的分类准确性大多在99%以上,表明应用分给模型具有良好的分类性能。测试中使用的应用流量来自于安卓和IOS两大类不同的操作系统,同时具体的操作系统版本和手机型号均有差异,这表明应用分类模型具有较好的泛化性能。（3）本文基于上述方法设计并实现了加密流量分类和家族应用识别原型系统。系统主要包含加密流量预处理模块、特征提取与数据集构建模块、流识别模块和应用识别模块等。加密流量分类和家族应用识别原型系统具有简洁且人性化的界面,使用者可以配置输入原始加密网络流数据、TFSN模型参数和应用识别模型参数等,同时可以方便的将加密流处理结果、流分类结果和应用分类保存到指定文件中,用于后续的分析和研究。除此之外,系统还能够以图表形式可视化地展现TFSN加密流分类与家族应用识别的结果,具有极强的应用价值。