占善华，张 巍，滕少华

（广东工业大学 计算机学院，广东 广州510006）

0 引 言

入侵检测作为新一代安全防护工具，受到国内外学者广泛关注［1－2］。本质上，入侵检测问题可转换为对网络数据进行的分类问题，可分为正常用户行为和异常行为。滥用入侵检测方法先构建分类器，即先从网络中收集数据，训练分类模型，然后对网络中的新数据进行分类决策。这种检测器不能检测异常攻击行为 （即新的攻击类型或方法），另外该模型对于网络中一些不确定数据［3］和非平衡数据，检测效果较差。基于表示的方法［4－7］通过训练样本建立表示模型，并将其用于测试样本，检验测试样本的偏离程度及表示方法的准确度。该方法已被用于人脸识别［8－9］。对于低维数据，由于一般的检测方法其分类能力较差［10］。因而，本文采用核函数方法，将低维分类问题转换为高维空间的分类问题［11］。用于克服低维空间分类的局限性，因而从某种程度上说，本文是基于表示方法的非线性扩展。由于一般入侵检测方法未按网络通信协议进行分析，因而在检测速度及检测的准确度方面难以提高，据此，文献 ［12］提出了一个协同入侵检测模型，将网络中数据按TCP、UDP和ICMP协议分别进行检测。本文引用该方法，构造了一个基于核表示的协同入侵检测模型。主要思想如下：首先，按照网络协议把网络数据分成TCP、ICMP和UDP三类；然后对每类数据分别进行检测与处理；最后，按照每类数据的决策结果，给出最终的检测结果。……