李少晗，周程昊，程永新，杨 栋

（1.海装装备项目管理中心，北京 100071；2.电子科技大学，四川 成都 610054；3.中国电子科技集团公司第三十研究所，四川 成都 610041）

0 引言

多年来，随着信息通信技术（Information Communications Technology，ICT）的发展，网络在各个国家人们生活的方方面面扮演着重要角色，同时对ICT 系统的攻击也在日益增长。因此，信息通信系统对有效的网络安全解决方案需求迫切。入侵检测系统（Intrusion Detection System，IDS）是一种在网络安全管理中使用广泛的方法，实现了对各种类型攻击的检测与分类。第一个针对入侵检测（Intrusion Detection，ID）的工作是John Anderson于1931 年为美国空军完成的一份报告《Computer Security Threat Monitoring and Surveillance》[1]，提出了利用审计跟踪数据监视入侵活动的思想。后来，文献[2]详细综述了在2001 年到2013 年间出现的网络攻击及其技术。

IDS 通过监视计算机网络来检测恶意事件，防止非法操作影响计算机安全和网络安全。通常，根据网络入侵检测的方式，将IDS 分类为基于主机的ID 系统（Host-based Intrusion Detection System，HIDS）和基于网络的ID 系统（Network Intrusion Detection System，NIDS）。HIDS 依赖于系统中的日志文件、系统日志、软件日志以及文件系统等其他信息。NIDS 则在流量流中检查每个流量包。本文将主要聚焦于NIDS。

目前，市场上现有的商业NIDS 大多基于统计机制和阈值计算机制。这两种机制都使用特征选取，如分组长度、到达时间、流量大小和其他网络传输参数等特征，将它们做成一个特定时间窗口内的模型。

自学习系统是当下处理网络攻击的有效防御手段之一。它使用机器学习中的有监督、半监督和无监督的学习策略，通过一个庞大的正常和攻击连接语料库来学习正常和恶意行为模式之前的差异。……