崔 振 ，陈柏生

(1.华侨大学 计算机科学与技术学院，福建 厦门361021；2.中国科学院 计算技术研究所，北京100190)

将所有的网络行为分成正常行为和异常行为两类，这样入侵检测问题就可以转化成模式分类问题。入侵检测的关键是正常和异常行为模式库的建立。目前常用的入侵检测方法有基于贝叶斯推理的入侵检测[1]、基于模式匹配的入侵检测[2]、基于神经网络的入侵检测[3]和基于数据挖掘的入侵检测[4]，以上方法对数据的要求较高或需要的数据量较大。支持向量机是建立在统计学习理论上的一种新的机器学习方法，由于其在小样本、高维、非线性等方面的优势和较好的推广能力，已经在入侵检测中得到应用[5]。总体上，支持向量机可分为误用检测和异常检测两大类，误用检测准确度高，但难以应对未知攻击；异常检测则常常面临误报率过高的问题。另外，如何应对大规模的高速数据流检测、如何实现在线学习、如何减少或消除噪声数据的影响，是入侵检测系统面临的主要挑战。

近年来，稀疏表示相关理论已成为研究的热点。常用的信号分解方式通常是非冗余的正交变换，如离散余弦变换、小波变换等。这类方式缺乏灵活性，并且许多混合信号在单一的正交基变换中无法得到有效的稀疏表示。基于超完备字典的信号稀疏分解是一种新的信号表示理论，它采用冗余原子来构造字典，而不是采用传统的正交基，这样使字典更富有表现力，同时为信号自适应的稀疏扩展提供了空间。……