本發(fā)明屬于機器學(xué)習領(lǐng)域，涉及一種基于雙自適應(yīng)正則化在線極限學(xué)習機的網(wǎng)絡(luò)入侵檢測方法。

背景技術(shù)：

隨著網(wǎng)絡(luò)技術(shù)和網(wǎng)絡(luò)規(guī)模的不斷發(fā)展，互聯(lián)網(wǎng)在軍事、金融、電子商務(wù)等領(lǐng)域得到大規(guī)模的應(yīng)用。越來越多的主機和網(wǎng)絡(luò)正受到各種網(wǎng)絡(luò)入侵攻擊的威脅，信息安全提升到一個非常重要的地位。網(wǎng)絡(luò)入侵是指網(wǎng)絡(luò)攻擊者通過非法的手段(如破譯口令、電子欺騙等)獲得非法的權(quán)限，并通過使用這些非法的權(quán)限使網(wǎng)絡(luò)攻擊者能對被攻擊的主機進行非授權(quán)的操作,例如竊取用戶的網(wǎng)上銀行賬號信息等等。網(wǎng)絡(luò)入侵的主要途徑有：破譯口令、IP欺騙和DNS欺騙。網(wǎng)絡(luò)入侵檢測技術(shù)屬于動態(tài)安全技術(shù)，是信息安全的一個重要研究方向。它被認為是防火墻之后的第二道安全閘門，主動檢測內(nèi)部和外部攻擊，保護自己免受網(wǎng)絡(luò)入侵。隨著網(wǎng)絡(luò)入侵方式的更新?lián)Q代，網(wǎng)絡(luò)入侵技術(shù)也面臨一系列新的挑戰(zhàn)。第一點，由于新的網(wǎng)絡(luò)入侵方式不斷產(chǎn)生，網(wǎng)絡(luò)數(shù)據(jù)樣本集越來越大(即訓(xùn)練數(shù)據(jù)集不斷變大)，增大了安全分析的開銷，降低了效率，很難滿足入侵檢測實時性的要求。第二點，網(wǎng)絡(luò)攻擊呈現(xiàn)智能化、復(fù)雜化的趨勢，檢測惡意入侵更加困難。

為了應(yīng)對這些挑戰(zhàn)，基于支持向量機(SVM)、人工神經(jīng)網(wǎng)絡(luò)、免疫原理以及聚類分析等人工智能的方法也被用于網(wǎng)絡(luò)入侵檢測技術(shù)中。這些算法在一定程度上提高了檢測性能，但仍有一些缺點亟待解決，比如：屬于批量學(xué)習算法，實時性不強、容易陷入局部最優(yōu)解、訓(xùn)練速度慢等等。在實際的網(wǎng)絡(luò)環(huán)境中，網(wǎng)絡(luò)數(shù)據(jù)連續(xù)不斷的產(chǎn)生，需要一種能實時連續(xù)學(xué)習且快速訓(xùn)練的方法來進行入侵檢測，很多學(xué)者對此展開了大量研究。在線慣序極限學(xué)習機(OS-ELM)(參考文獻：N.Liang,G.Huang,et al.(2006).A fast and accurate online sequential learning algorithm for feedforward networks.Neural Networks IEEE Transactions on,17(6),1411-1423.)屬于在線學(xué)習算法，繼承了傳統(tǒng)極限學(xué)習機(ELM)訓(xùn)練速度快、檢測精度高、泛化性能優(yōu)等特點，并且能根據(jù)連續(xù)到達的數(shù)據(jù)實時的修正和優(yōu)化訓(xùn)練模型，非常適合網(wǎng)絡(luò)入侵檢測等實時性強的應(yīng)用。然而OS-ELM同ELM一樣基于經(jīng)驗風險最小化，容易發(fā)生過擬合以及病態(tài)問題。在初始化階段，其初始訓(xùn)練集大小必須大于或等于隱層單元數(shù)，不利于實時的檢測網(wǎng)絡(luò)入侵。因此，要將OS-ELM應(yīng)用于復(fù)雜多變的網(wǎng)絡(luò)環(huán)境，還需要進行更深的研究。

技術(shù)實現(xiàn)要素：

本發(fā)明是為了解決現(xiàn)有的技術(shù)所存在的上述技術(shù)問題，提供一種能高效、高速、實時的檢測網(wǎng)絡(luò)入侵的基于雙自適應(yīng)正則化在線極限學(xué)習機的網(wǎng)絡(luò)入侵檢測方法。

一種基于雙自適應(yīng)正則化在線極限學(xué)習機的網(wǎng)絡(luò)入侵檢測方法，包括以下步驟：

步驟1：利用標準NSL-KDD網(wǎng)絡(luò)數(shù)據(jù)訓(xùn)練在線極限學(xué)習機分類器；

步驟2：基于已訓(xùn)練好的在線極限學(xué)習機分類器，計算待檢測的網(wǎng)絡(luò)數(shù)據(jù)的隱含層輸出矩陣H；

步驟3：按照以下公式對待檢測的網(wǎng)絡(luò)數(shù)據(jù)進行入侵檢測判斷，得到入侵檢測判斷結(jié)果

其中，β為已訓(xùn)練好的在線極限學(xué)習機分類器中的隱含層和輸出層之間的輸出權(quán)重；

在訓(xùn)練在線極限學(xué)習機分類器時，首先對在線極限學(xué)習機分類器進行初始化設(shè)置：

激勵函數(shù)設(shè)置為hardlim，隱層單元數(shù)L至少為1000，初始數(shù)據(jù)集大小n₀至少為50，從訓(xùn)練數(shù)據(jù)集中隨機選取，輸入權(quán)重W_i和隱層偏置b_i為[-1.1]范圍內(nèi)的隨機值；

訓(xùn)練數(shù)據(jù)集為從標準NSL-KDD網(wǎng)絡(luò)數(shù)據(jù)隨機選取的至少10000個樣本；

在線極限學(xué)習機分類器中的隱含層和輸出層之間的初始輸出權(quán)重β₀按以下公式確定：

若n₀<L，則否則，

其中，

C為脊回歸因子，初始值為1e-8，I表示大小為L×L的單位矩陣，大小為，H₀表示初始隱層輸出矩陣，T₀表示訓(xùn)練集n₀對應(yīng)的目標集，U₀和K₀表示中間變量矩陣。

在線極限學(xué)習機分類器在不斷的學(xué)習過程中，每次用于訓(xùn)練的數(shù)據(jù)集是從除去已被隨機選取后的樣本的訓(xùn)練數(shù)據(jù)集中隨機選取獲得；

進一步地，在訓(xùn)練在線極限學(xué)習機分類器過程中，脊回歸因子C按照以下設(shè)置進行更新；

首先，設(shè)置脊回歸因子C的更新間隔時間△P；

其次，按照從第一次訓(xùn)練在線極限學(xué)習機分類器開始，每間隔△P次訓(xùn)練，更新一次脊回歸因子C。

進一步地，所述脊回歸因子C的更新過程如下：

把當前已經(jīng)訓(xùn)練過的所有訓(xùn)練數(shù)據(jù)集合并成一個訓(xùn)練集，并依照當前的在線極限學(xué)習機分類器計算出合并后的訓(xùn)練集對應(yīng)的輸出矩陣H，采用基于SVD和PRESS的LOO-CV方法計算脊回歸因子C的最優(yōu)值，并自適應(yīng)更新參數(shù)C，具體包括以下幾個步驟：

對待檢測的網(wǎng)絡(luò)數(shù)據(jù)進行入侵檢測時，由于網(wǎng)絡(luò)中的數(shù)據(jù)為實時增加的，檢測過程，同樣如同訓(xùn)練過程一樣，當產(chǎn)生新的網(wǎng)絡(luò)數(shù)據(jù)時，將之前已檢測的數(shù)據(jù)和新產(chǎn)生的數(shù)據(jù)一起合并后再利用已訓(xùn)練的在線極限學(xué)習機分類器進行檢測；

步驟A：設(shè)置脊回歸因子C的候選值[1e-10，1e-8，1e-6，1e-4，1e-2，0，1e，2，1e4，1e6，1e8，1e10]；

步驟B：用奇異值分解將輸出矩陣H分解為H＝UΣV^T；

其中，U、Σ及V均表示通過對H進行奇異值分解得到的中間變量矩陣，Σ^T表示Σ的轉(zhuǎn)置矩陣；

步驟C：依次計算脊回歸因子C每個候選值的對應(yīng)的預(yù)測殘差平方和E_LOO；

其中，t_i和分別表示合并后的訓(xùn)練集中第i個樣本的目標值和對應(yīng)的預(yù)測值；hat_ii表示中間變量矩陣HAT的第i個對角元素值，N表示合并后的訓(xùn)練集中的樣本數(shù)量；

中間變量矩陣HAT是通過對預(yù)測集矩陣進行分解獲得：

T表示訓(xùn)練集的入侵檢測目標集對應(yīng)的矩陣；

對角矩陣S：

其中，σ_ii為矩陣Σ的第i個對角元素，當i大于L時σ_ii取值為0；

步驟D：選出最小預(yù)測殘差平方和E_LOO對應(yīng)的脊回歸因子C的候選值作為脊回歸因子的當前最優(yōu)值，更新脊回歸因子C。

把合并的訓(xùn)練集的入侵檢測預(yù)測集的矩陣做如下分解：

HAT表示中間變量矩陣，T表示訓(xùn)練集的入侵檢測目標集對應(yīng)的矩陣；V^T、U^T、H^T分別表示V、U、H的轉(zhuǎn)置矩陣；

進一步地，在訓(xùn)練在線極限學(xué)習機分類器過程中，隱含層和輸出層之間的初始輸出權(quán)重按照以下公式計算：

當n_k≥L，用中間變量K_k來更新輸出權(quán)重β_k，其中K_k為L×L的矩陣：

其中，K′_k-1＝K_k-1-C_k-1+C_k；

當n_k<L，用中間變量U_k來初始化輸出權(quán)重β_k，其中U_k為n_k×n_k的矩陣：

其中，U′_k-1＝(U_k-1^-1-C_k-1+C_k)^-1；

其中，n_k、β_k、K_k及U_k分別表示利用第k個合并訓(xùn)練集對在線極限學(xué)習機分類器進行第k次訓(xùn)練時所需的隱含層和輸出層之間的初始輸出權(quán)重以及兩個中間變量矩陣；

n_k表示利用第k個合并訓(xùn)練集的樣本大小，k為大于或等于1的整數(shù)；

C_k-1和C_k分別表示利用第k-1個和第k個合并訓(xùn)練集對在線極限學(xué)習機分類器進行訓(xùn)練時的脊回歸因子。

有益效果

本發(fā)明公開了一種基于雙自適應(yīng)正則化在線極限學(xué)習機的網(wǎng)絡(luò)入侵檢測方法，該方法用帶標簽的網(wǎng)絡(luò)數(shù)據(jù)集訓(xùn)練極限學(xué)習機網(wǎng)絡(luò)，并用該網(wǎng)絡(luò)進行網(wǎng)絡(luò)入侵檢測。在極限學(xué)習機網(wǎng)絡(luò)初始化階段，從NSL-KDD網(wǎng)絡(luò)數(shù)據(jù)集中隨機抽取樣本作為初始訓(xùn)練集，隨機分配網(wǎng)絡(luò)輸入權(quán)重和隱層偏置，并根據(jù)初始訓(xùn)練集的大小自適應(yīng)的初始化輸出權(quán)重β，在連續(xù)學(xué)習階段，根據(jù)當前已獲取的全部數(shù)據(jù)集，采用基于奇異值分解(SVD)和預(yù)測平方和(PRESS)的留一交叉驗證法(LOO-CV)自適應(yīng)獲取C的最優(yōu)值并更新，然后根據(jù)新到達的數(shù)據(jù)集自適應(yīng)更新β。在輸出權(quán)重β的計算過程中，充分權(quán)衡經(jīng)驗風險和結(jié)構(gòu)風險，引入基于吉洪諾夫正則化的脊回歸因子C。訓(xùn)練好極限學(xué)習機網(wǎng)絡(luò)后，再利用該網(wǎng)絡(luò)分類待檢測的網(wǎng)絡(luò)數(shù)據(jù)，即進行網(wǎng)絡(luò)入侵檢測。本發(fā)明提出的方法能高效、高速的檢測網(wǎng)絡(luò)入侵，顯著的提高網(wǎng)絡(luò)入侵檢測算法的泛化性能和實時性能。

附圖說明

圖1為極限學(xué)習機網(wǎng)絡(luò)結(jié)構(gòu)示意圖；

圖2為輸出權(quán)重β的自適應(yīng)機制流程圖；

圖3為本發(fā)明帶和不帶輸出權(quán)重β的自適應(yīng)機制的實驗結(jié)果對比圖；

圖4為本發(fā)明帶和不帶脊回歸因子C的自適應(yīng)機制的實驗結(jié)果對比圖。

具體實施方式

下面將結(jié)合實施例對本發(fā)明做進一步的說明。

實施例1：

本實施例分為訓(xùn)練和檢測兩個部分，訓(xùn)練即用帶標簽的網(wǎng)絡(luò)數(shù)據(jù)集訓(xùn)練極限學(xué)習機分類器，檢測即用訓(xùn)練好的分類器來檢測待檢測數(shù)據(jù)中的網(wǎng)絡(luò)入侵數(shù)據(jù)。

通過在NSL-KDD數(shù)據(jù)集上模擬訓(xùn)練和檢測過程來說明本發(fā)明的有效性。NSL-KDD數(shù)據(jù)集是著名的KDD網(wǎng)絡(luò)數(shù)據(jù)集的改進版本，該數(shù)據(jù)集刪除了KDD數(shù)據(jù)集中的冗余數(shù)據(jù)，因此分類器不會偏向更頻繁的數(shù)據(jù)，并且訓(xùn)練集和測試集的數(shù)據(jù)比較合理，使得數(shù)據(jù)集可以被充分利用。而KDD數(shù)據(jù)集是用于1999年舉行的KDDCUP競賽的網(wǎng)絡(luò)數(shù)據(jù)集，雖然年代有些久遠，但KDD數(shù)據(jù)集仍然是網(wǎng)絡(luò)入侵檢測領(lǐng)域的事實基準，為基于計算智能的網(wǎng)絡(luò)入侵檢測研究奠定基礎(chǔ)。為了評估本發(fā)明的性能，用到的評估參數(shù)有：檢測精度(ACC)、訓(xùn)練時間(Train Time)、漏檢率(FPR)、誤檢率(FNR)。檢測精度越高、訓(xùn)練時間越短、漏檢率和誤檢率越低表示分類器性能越優(yōu)。

一種基于雙自適應(yīng)正則化在線極限學(xué)習機的網(wǎng)絡(luò)入侵檢測方法，包括以下步驟：

步驟1：極限學(xué)習機分類器的初始化階段。極限學(xué)習機是目前比較新穎的一種神經(jīng)網(wǎng)絡(luò)數(shù)學(xué)模型，初始化即初始化極限學(xué)習機網(wǎng)絡(luò)的各個參數(shù)，為接下來的連續(xù)學(xué)習階段做準備。

1.1把原始NSL-KDD數(shù)據(jù)集中的字符型數(shù)據(jù)轉(zhuǎn)換為數(shù)字型，然后進行規(guī)范化和標準化處理。

1.2從處理過的NSL-KDD數(shù)據(jù)集中選取16000個樣本作為訓(xùn)練數(shù)據(jù)集N，4000個樣本作為測試數(shù)據(jù)集D,一般訓(xùn)練數(shù)據(jù)集應(yīng)該選擇10000個樣本以上，測試數(shù)據(jù)集大小不作要求，根據(jù)實際網(wǎng)絡(luò)待測數(shù)據(jù)的多少來決定。

NSL-KDD數(shù)據(jù)集包含五種類別的數(shù)據(jù)(NORMAL、PROBING、DOS、R2L、U2R)，從該數(shù)據(jù)集中抽取的訓(xùn)練集N和測試集D中五種類別的數(shù)據(jù)都是等量的。

1.3選擇激勵函數(shù)‘hardlim’、設(shè)置隱層單元數(shù)L為1000、脊回歸因子C初始值為‘1e-8’、初始數(shù)據(jù)集大小n₀為50。

1.4從訓(xùn)練集N中隨機的選擇50個樣本作為初始訓(xùn)練集N₀，其中：

N₀＝{(x_i,t_i)|i＝1,…,50} (1)

x_i和t_i分別代表n×1的輸入向量和m×1的目標向量。

其中n表示的是樣本的特征數(shù)，比如連接持續(xù)類型、協(xié)議類型等等，NSL-KDD數(shù)據(jù)集中每個樣本用41個特征表示，即n為41。m表示的是分類器把樣本分成的類別，本實施例中樣本分為正常和異常兩類，即m為2，異常即表示該數(shù)據(jù)表示的網(wǎng)絡(luò)連接異常。50個樣本為隨機選取，不考慮各類數(shù)據(jù)的比例，因為影響整個分類器性能的是整體訓(xùn)練集，只要整體訓(xùn)練集中各類數(shù)據(jù)比例相等即可。

1.4在[-1,1]范圍內(nèi)隨機分配輸入權(quán)重W_i和隱層偏置b_i，極限學(xué)習機的特色就在于這兩個參數(shù)是隨機分配并且不需要迭代調(diào)整的，一旦這兩個參數(shù)設(shè)置好，隱層輸出矩陣就會被唯一確定。

1.5依據(jù)如下公式計算初始隱層輸出矩陣H₀，其中g(shù)(x)為激勵函數(shù)‘hardlim’，X_i代表n×1的輸入向量：

1.6根據(jù)n_o和隱層單元數(shù)L的大小關(guān)系50<1000，用中間向量U₀來初始化輸出權(quán)重β₀，β₀是連接隱層和輸出層的輸出權(quán)重，U₀是50×50的矩陣：

若n_o設(shè)置為1000及以上，則用中間變量K₀來初始化β₀，其中：

步驟2：極限學(xué)習機分類器的連續(xù)學(xué)習階段。

2.2設(shè)置需要更新脊回歸因子C的步驟的集合P＝{1，100，200，…}(用戶可以自由選擇需要更新脊回歸因子C的步驟，如果精度要求不是太高，用戶可以把更新的步驟間隔設(shè)大一些，以此來降低計算復(fù)雜度，加快訓(xùn)練速度，更新步驟間隔一般設(shè)置為[100，1000]范圍內(nèi)。

2.1將訓(xùn)練數(shù)據(jù)集N剩下的數(shù)據(jù)進行分塊處理，每塊數(shù)據(jù)集大小均為chunk(本實施例中chunk設(shè)為50，實際網(wǎng)絡(luò)環(huán)境中是過一段時間訓(xùn)練一次極限學(xué)習機網(wǎng)絡(luò)，相等的時間段內(nèi)產(chǎn)生的網(wǎng)絡(luò)數(shù)據(jù)集大小不等，因此chunk是不斷變化的)，然后用分塊后的訓(xùn)練數(shù)據(jù)集依次訓(xùn)練極限學(xué)習機網(wǎng)絡(luò)。當用第k個訓(xùn)練集N_k訓(xùn)練時，用下式計算其對應(yīng)的隱層輸出矩陣H_k：

2.2當k∈P時(k代表當前訓(xùn)練極限學(xué)習機網(wǎng)絡(luò)使用的訓(xùn)練數(shù)據(jù)集序號，k∈P即代表該訓(xùn)練步驟需要更新脊回歸因子C)，把當前已經(jīng)訓(xùn)練過的所有訓(xùn)練數(shù)據(jù)集合并成一個訓(xùn)練集，并依照公式2計算出其對應(yīng)的輸出矩陣H，采用基于SVD和PRESS的LOO-CV方法計算脊回歸因子C的最優(yōu)值，并自適應(yīng)更新參數(shù)C。

其中，自適應(yīng)的更新脊回歸因子C的具體過程如下：

1)設(shè)置參數(shù)C的候選值[1e-10，1e-8，1e-6，1e-4，1e-2，0，1e，2，1e4，1e6，1e8，1e10]。

2)用奇異值分解將輸出矩陣H分解為H＝UΣV^T，把預(yù)測集的計算過程做如下分解：

3)對C的每個候選值，做如下計算：

a.用如下公式計算中間變量W，其中σ_ii是Σ的第i個對角元素，當i>L時σ_ii＝0。

b.用如下公式計算HATi和

c.用如下公式計算預(yù)測殘差平方和，其中t_i代表目標值，代表預(yù)測值，hat_ii代表HAT矩陣的第i個對角元素值：

4)選取k個E_LOOi值中的最小值作為參數(shù)C的最優(yōu)值；

2.3類似初始化階段中β₀的計算過程，根據(jù)n_k(n_k為第k個訓(xùn)練集N_k的大小)和L的大小關(guān)系自適應(yīng)的更新輸出權(quán)重β_k，輸出權(quán)重β的自適應(yīng)初始化和更新過程如圖1所示。

當n_k≥L，用中間變量K_k來更新輸出權(quán)重β_k，其中K_k為L×L的矩陣：

其中，K′_k-1＝K_k-1-C_k-1+C_k；

當n_k<L，用中間變量U_k來初始化輸出權(quán)重β_k，其中U_k為n_k×n_k的矩陣：

其中，U′_k-1＝(U_k-1^-1-C_k-1+C_k)^-1；

C_k-1和C_k分別表示利用第k-1個和第k個合并訓(xùn)練集對在線極限學(xué)習機分類器進行訓(xùn)練時的脊回歸因子。

在線極限學(xué)習機是用實時網(wǎng)絡(luò)環(huán)境中不斷生成的網(wǎng)絡(luò)數(shù)據(jù)去更新極限學(xué)習機網(wǎng)絡(luò)中的輸出權(quán)重β，從以上的輸出權(quán)重β更新公式可以看出，β的更新僅僅依賴于新生成的訓(xùn)練集，與之前的訓(xùn)練數(shù)據(jù)集無關(guān)，這樣使得該方法能夠更加適應(yīng)實時性很強的網(wǎng)絡(luò)環(huán)境。當極限學(xué)習機網(wǎng)絡(luò)分類器訓(xùn)練好后，只需把待檢測的網(wǎng)絡(luò)數(shù)據(jù)集放入該極限學(xué)習機網(wǎng)絡(luò)中進行分類，即可判斷是否為網(wǎng)絡(luò)入侵數(shù)據(jù)。

步驟3：網(wǎng)絡(luò)入侵檢測階段

步驟1和步驟2訓(xùn)練好了極限學(xué)習機網(wǎng)絡(luò)分類器后，就可以用來檢查網(wǎng)絡(luò)入侵。用測試數(shù)據(jù)集D來模擬待檢測的網(wǎng)絡(luò)數(shù)據(jù)集。

3.1對于測試數(shù)據(jù)集D，用公式2計算其對應(yīng)的隱層輸出矩陣H；

3.2按以下公式計算其對應(yīng)的預(yù)測集進行分類判決，其中β為訓(xùn)練好的極限學(xué)習機網(wǎng)絡(luò)中的輸出權(quán)重；

3.3比較目標集T和預(yù)測集統(tǒng)計檢測精度、誤檢率和漏檢率。

步驟4：重新對數(shù)據(jù)集N進行分塊處理，重復(fù)步驟1到步驟3，比較數(shù)據(jù)分塊大小(chunk)在范圍[20,3000]內(nèi)時，本發(fā)明實施例的網(wǎng)絡(luò)入侵檢測方法的性能，如表1所示。由表知chunk對精度的影響不大，但chunk越小，訓(xùn)練時間越長。因此證明在實際的網(wǎng)絡(luò)入侵檢測中，不同時間段網(wǎng)絡(luò)數(shù)據(jù)生成不均勻(即chunk大小不一)不會影響本發(fā)明的檢測精度，進一步的證明了本發(fā)明的實時性良好。

表1不同chunk下本發(fā)明方法的性能比較。

步驟5：當chunk在范圍[0,1000]內(nèi)時，重復(fù)步驟1到步驟3，但此次初始化和更新輸出權(quán)重β時不采用自適應(yīng)機制(β自適應(yīng)機制即在初始化和在線學(xué)習過程中自適應(yīng)的選擇初始化和更新的方式，是我的創(chuàng)新點)，僅僅按n_k＞L情況下的方式進行β的初始化和更新。將此步驟的實驗結(jié)果與步驟4的實驗結(jié)果進行比較，如圖2所示。本發(fā)明的β自適應(yīng)機制能有效降低計算復(fù)雜度，縮短訓(xùn)練時間，提升檢測性能。

步驟6：重新獲取不同大小的訓(xùn)練集N，重復(fù)步驟1到步驟3，模擬現(xiàn)實的網(wǎng)絡(luò)環(huán)境中網(wǎng)絡(luò)數(shù)據(jù)集大小不同的情況。當訓(xùn)練集范圍為[0，1000]時，比較自適應(yīng)更新脊回歸因子C和不更新C時，本發(fā)明網(wǎng)絡(luò)入侵檢測方法的性能，如圖3所示。本發(fā)明的C自適應(yīng)更新機制能有效提高檢測精度，提升檢測性能，更加符合實際網(wǎng)絡(luò)環(huán)境的實時性要求。

步驟7：重新設(shè)置隱層單元數(shù)L，重復(fù)步驟1到步驟3，將本發(fā)明方法與基于OS-ELM的網(wǎng)絡(luò)入侵檢測方法性能進行詳細比較，如表2所示。本發(fā)明相較基于OS-ELM的網(wǎng)絡(luò)入侵檢測方法，有更高的檢測精度，更好的泛化性能。另外從表2中也可看出，當訓(xùn)練數(shù)據(jù)集只有2萬左右時，隱層單元數(shù)應(yīng)該設(shè)置到[500，1000]之間，訓(xùn)練速度快的同時精度也高。當訓(xùn)練數(shù)據(jù)集更大或者要求更高的精度的時候，就要設(shè)置更多的隱層數(shù)，犧牲訓(xùn)練時間來換取精度。

表2本發(fā)明與基于OS-ELM的網(wǎng)絡(luò)入侵檢測方法的性能比較

步驟8：將本發(fā)明實施例與以下四個方法進行實驗比較：BP、SVM、ANN、K-means，實驗結(jié)果如表3?？梢钥闯?，本發(fā)明的網(wǎng)絡(luò)入侵檢測方法在訓(xùn)練速度和訓(xùn)練精度方面均大大優(yōu)于其他方法。同時，本發(fā)明屬于連續(xù)學(xué)習方法，其雙自適應(yīng)機制滿足了實際網(wǎng)絡(luò)環(huán)境的實時性要求，降低了計算復(fù)雜度，提高了泛化性能。

表3本發(fā)明與其余四個方法的性能比較

以上所述僅為本發(fā)明的優(yōu)選實施例而已，并不用于限制本發(fā)明，對于本領(lǐng)域的技術(shù)人員來說，本發(fā)明可以有各種更改和變化。凡在本發(fā)明的精神和原則之內(nèi)，所作的任何修改、等同替換、改進等，均應(yīng)包含在本發(fā)明的保護范圍之內(nèi)。