彭 凯，石津津，杨 岸，林 韬，梁浩东，朱帅琦，张娇慧

（1. 华侨大学工学院，福建 泉州 362021；2. 工业智能化技术与系统福建省高校工程研究中心，福建 泉州 362021；3. 厦门狄耐克电子科技股份有限公司研发中心，福建 厦门 361000；4. 厦门雅迅网络股份有限公司，福建 厦门 361000）

0 引言

网络安全是一个系统的概念，其首要目标是制定有效的安全策略和方案。入侵检测系统（IDS，Intrusion Detection Systems）作为网络安全防护的重要组成部分，是为了保证网络安全而设计的。其任务是检测在主机或网络环境中的恶意活动，及时做出反应，例如，停止持续的攻击[1]。

IDS最早出现在 1980年，James P.Anderson[2]在一份题为《计算机安全威胁监控与视》的技术报告中指出，审计记录可以用于识别计算机误用，并对威胁进行了分类。经过数十年的发展，IDS已经成为一项较为成功的安全防护技术。以Snort[3]为代表的IDS为网络安全做出了杰出的贡献。其它较为出名的商用入侵检测产品还有 CISCO公司的NetRanger等[4]。

模式匹配算法是IDS产品的核心技术之一，基于 AC、BM、MWM 等匹配算法[5]的误用检测可以使IDS被动式地检测广泛存在、特征明显的已知攻击。而对于未知攻击，传统IDS通常采取基于“偏离值”和“用户行为”的异常检测进行主动防护。利用统计模型、聚类分析等检测形式[6]以及 DB等优秀算法可以使系统对未知攻击有了一定的检测能力。KNN算法称为k最近邻算法[7]，是一个理论上比较成熟的统计学习方法。目前，被广泛应用于模式识别、分类和回归等[8]。而传统 IDS对于异常但非攻击行为仍存在着较高的误报率，对非异常但攻击行为存在着较高的漏报率。……