改進(jìn)逆向習(xí)得推理的網(wǎng)絡(luò)異常行為檢測(cè)模型

李博超 邵酉辰

摘? 要： 針對(duì)網(wǎng)絡(luò)異常行為檢測(cè)中數(shù)據(jù)不平衡導(dǎo)致召回率低的問(wèn)題，提出一種改進(jìn)逆向習(xí)得推理（ALI）的網(wǎng)絡(luò)異常行為檢測(cè)模型。首先，使用僅由正樣本所構(gòu)成的數(shù)據(jù)對(duì)改進(jìn)的ALI模型進(jìn)行訓(xùn)練，通過(guò)已訓(xùn)練的改進(jìn)的ALI模型處理檢測(cè)數(shù)據(jù)，生成處理后的檢測(cè)數(shù)據(jù)集;然后，使用異常檢測(cè)函數(shù)計(jì)算處理后的檢測(cè)數(shù)據(jù)與檢測(cè)數(shù)據(jù)的距離以判斷是否異常。在KDD99數(shù)據(jù)集上與AnoGAN等常用模型進(jìn)行對(duì)比實(shí)驗(yàn)，實(shí)驗(yàn)結(jié)果表明，所設(shè)計(jì)模型在數(shù)據(jù)不平衡時(shí)具有較高的召回率，相比AnoGAN，召回率提升16%。

關(guān)鍵詞： 檢測(cè)模型; 網(wǎng)絡(luò)異常行為檢測(cè); 逆向習(xí)得推理; 模型訓(xùn)練; 數(shù)據(jù)處理; 對(duì)比實(shí)驗(yàn)

中圖分類號(hào)： TN711?34; TP309? ? ? ? ? ? ? ? ? ?文獻(xiàn)標(biāo)識(shí)碼： A? ? ? ? ? ? ? ? ? ? ? 文章編號(hào)： 1004?373X（2020）18?0014?05

Abstract： In allusion to the poor recall rate caused by data imbalance in the network abnormal behavior detection， a network abnormal behavior detection model based on improved adversarially learned inference （ALI） is proposed. The data only composed of positive samples is used to train the improved ALI model， and the trained ALI model is utilized to process the detection data to generate the processed detection dataset. The distance between the processed detection data and the detected data is calculated by means of the anomaly detection function to determine whether it is abnormal. The detection model is compared with the commonly used models such as AnoGAN on the KDD99 dataset. The experimental results show the designed model has a higher recall rate when the data is unbalanced， and the recall rate is 16% higher than that of AnoGAN.

Keywords： detection model; network abnormal behavior detection;? adversarially learned inference; model training; data processing; contrast experiment

0? 引? 言

網(wǎng)絡(luò)異常行為是指由網(wǎng)絡(luò)用戶實(shí)施的對(duì)網(wǎng)絡(luò)正常運(yùn)行造成影響的行為。隨著網(wǎng)絡(luò)技術(shù)的快速發(fā)展和應(yīng)用，網(wǎng)絡(luò)異常行為的新變種更是層出不窮，其威脅也日益嚴(yán)重。對(duì)網(wǎng)絡(luò)異常行為進(jìn)行高效檢測(cè)已成為目前的研究熱點(diǎn)。

隨著機(jī)器學(xué)習(xí)算法的廣泛應(yīng)用，許多學(xué)者使用機(jī)器學(xué)習(xí)算法進(jìn)行網(wǎng)絡(luò)異常行為檢測(cè)研究。文獻(xiàn)[1]通過(guò)使用主成分分析法（Principal Component Analysis，PCA）對(duì)原始數(shù)據(jù)集進(jìn)行數(shù)據(jù)降維并消除冗余數(shù)據(jù)，找到具有最優(yōu)分類效果的主成分屬性集， 解決了對(duì)于大型數(shù)據(jù)集計(jì)算代價(jià)大的問(wèn)題，但檢測(cè)準(zhǔn)確度較低。

使用機(jī)器學(xué)習(xí)算法檢測(cè)網(wǎng)絡(luò)異常行為準(zhǔn)確率低的主要原因是可收集到的異常行為樣本種類少且數(shù)量有限，造成收集到的數(shù)據(jù)集不平衡。文獻(xiàn)[2]提出通過(guò)使用變分自編碼器（Variational Auto?Encoder，VAE）模型訓(xùn)練正常行為，雖解決了網(wǎng)絡(luò)異常檢測(cè)中數(shù)據(jù)集不平衡的問(wèn)題，但該方法對(duì)數(shù)據(jù)集的處理過(guò)程中易出現(xiàn)關(guān)鍵特征提取效率不高，造成生成數(shù)據(jù)集“失真”的情況，導(dǎo)致檢測(cè)結(jié)果準(zhǔn)確率波動(dòng)較大。

針對(duì)上述不足，文獻(xiàn)[3]建立了一種卷積神經(jīng)網(wǎng)絡(luò)模型，通過(guò)提高該網(wǎng)絡(luò)提取特征的效率，進(jìn)而提高了分類的準(zhǔn)確性。文獻(xiàn)[4]提出了一種基于卷積神經(jīng)網(wǎng)路算法的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，該系統(tǒng)通過(guò)自動(dòng)提取入侵樣本的有效特征，從而提升分類的準(zhǔn)確性。上述兩種方法的主要不足在于模型訓(xùn)練過(guò)程中收斂速度不理想，泛化能力差，導(dǎo)致誤報(bào)率較高。

逆向習(xí)得推理（Adversarially Learned Inference，ALI）模型是一種成功應(yīng)用于模擬復(fù)雜和高維分布的數(shù)據(jù)生成模型[5]，其主要優(yōu)勢(shì)為：

1） 無(wú)需利用馬爾科夫鏈反復(fù)采樣，無(wú)需在學(xué)習(xí)過(guò)程中進(jìn)行推斷，回避了棘手的概率計(jì)算難題;

2） 如果判別器訓(xùn)練良好，生成網(wǎng)絡(luò)則可以有效地學(xué)習(xí)到訓(xùn)練樣本的分布。

因此，本文考慮通過(guò)設(shè)計(jì)一個(gè)模型首先來(lái)學(xué)習(xí)正常數(shù)據(jù)分布，然后將檢測(cè)數(shù)據(jù)輸入訓(xùn)練完的模型并計(jì)算出其正常分布，最后將處理后的檢測(cè)數(shù)據(jù)與處理前的檢測(cè)數(shù)據(jù)通過(guò)異常檢測(cè)函數(shù)進(jìn)行對(duì)比，判斷此數(shù)據(jù)的異常情況。

1? ALI基本內(nèi)涵

ALI模型是一種無(wú)監(jiān)督數(shù)據(jù)生成模型，由編碼器、解碼器和判別器組成。其學(xué)習(xí)過(guò)程就是編碼器、解碼器和判別器之間的一種競(jìng)爭(zhēng)過(guò)程。文獻(xiàn)[5]將這一思想表示為：

當(dāng)將ALI模型訓(xùn)練用于生成數(shù)據(jù)時(shí)，解碼器將真實(shí)訓(xùn)練樣本x映射到潛在變量空間，得到z_hat;編碼器將潛在變量z轉(zhuǎn)化為生成樣本x_tilde。假設(shè)解碼器的輸入輸出（x，z_hat）分類為1，編碼器的輸入輸出（x_tilde，z）分類為0。判別器的目標(biāo)是將盡可能多的（x，z_hat）判別為1，同時(shí)將盡可能多的（x_tilde，z）判別為0，即

D（x，Gz（x））≈1且D（Gx（z），z）≈0。當(dāng)編碼器、解碼器和判別器在訓(xùn)練中經(jīng)過(guò)多輪競(jìng)爭(zhēng)最終達(dá)到平衡時(shí)，此時(shí)編碼器生成數(shù)據(jù)x_tilde與真實(shí)訓(xùn)練樣本x將非常相似。ALI理論上經(jīng)過(guò)訓(xùn)練可以完全逼近真實(shí)數(shù)據(jù)的分布，這是ALI模型的最大優(yōu)勢(shì)和特點(diǎn)。

2? 基于ALI的網(wǎng)絡(luò)異常行為檢測(cè)模型

基于ALI模型，設(shè)計(jì)一種網(wǎng)絡(luò)異常行為檢測(cè)模型，如圖2所示。該模型由數(shù)據(jù)預(yù)處理和異常檢測(cè)兩個(gè)模塊組成。

2.1? 數(shù)據(jù)預(yù)處理模塊

操作處理過(guò)程為：

步驟1：首先，統(tǒng)計(jì)數(shù)據(jù)集中以離散數(shù)據(jù)表示的特征項(xiàng)的名稱。然后，遍歷數(shù)據(jù)集并將所有用離散數(shù)據(jù)表示的特征項(xiàng)數(shù)據(jù)去掉。

步驟2：遍歷數(shù)據(jù)集對(duì)數(shù)據(jù)進(jìn)行歸一化處理，將數(shù)據(jù)變?yōu)閇0，1]之間的小數(shù)，以提高模型收斂速度和異常檢測(cè)函數(shù)計(jì)算精度。歸一化公式如下：

式中：Xnormal為歸一化后的數(shù)據(jù);X為原始數(shù)據(jù);Xmax和Xmin分別為特征項(xiàng)的最大值和最小值。

2.2? 異常檢測(cè)模塊

異常檢測(cè)模塊包括訓(xùn)練和檢測(cè)過(guò)程，模塊處理流程設(shè)計(jì)如圖3所示。

檢測(cè)模塊的處理過(guò)程設(shè)計(jì)如下：

輸入：預(yù)處理后的數(shù)據(jù)D;

輸出：異常檢測(cè)結(jié)果R。

步驟1：將數(shù)據(jù)集D中按照標(biāo)簽分為正常數(shù)據(jù)與異常數(shù)據(jù)，組成正常數(shù)據(jù)集D_normal與異常數(shù)據(jù)集D_anomal。隨機(jī)從D_normal中抽取80%的數(shù)據(jù)組成訓(xùn)練數(shù)據(jù)D_train，剩余的20%數(shù)據(jù)和D_anomal組成檢測(cè)數(shù)據(jù)D_test。

步驟2：使用改進(jìn)ALI模型訓(xùn)練D_train，經(jīng)過(guò)k次迭代訓(xùn)練，確定生成網(wǎng)絡(luò)、推理網(wǎng)絡(luò)內(nèi)部神經(jīng)元的權(quán)重。

步驟3：使用訓(xùn)練后的改進(jìn)ALI模型中的生成網(wǎng)絡(luò)處理檢測(cè)數(shù)據(jù)D_test，生成處理后的檢測(cè)數(shù)據(jù)D_test_fin。

步驟4：將D_test_fin和D_test輸入異常檢測(cè)函數(shù)，計(jì)算D_test每條記錄的異常結(jié)果R。異常檢測(cè)函數(shù)如下所示：

式中：假設(shè)數(shù)據(jù)集有m個(gè)屬性;xaj和xbj分別表示D_test_fin中的記錄xa與D_test中的記錄xb對(duì)應(yīng)的第j個(gè)屬性值。本文認(rèn)為擁有較大檢測(cè)結(jié)果值的樣本異常可能性大。

在ALI模型中，推理網(wǎng)絡(luò)的訓(xùn)練只是簡(jiǎn)單地將輸入復(fù)制到輸出，雖保留了原始數(shù)據(jù)的特征，并不能確保隱變量獲得有用的特征表示。為了增強(qiáng)推理網(wǎng)絡(luò)與生成網(wǎng)絡(luò)的訓(xùn)練效率，本文考慮首先通過(guò)引入一個(gè)損壞過(guò)程[Cx′x]，得到受損數(shù)據(jù)作為ALI模型的輸入，然后在ALI模型的隱含層填加一些約束，讓這些約束使模型對(duì)輸入數(shù)據(jù)中有用的特征優(yōu)先學(xué)習(xí)，使模型可以學(xué)習(xí)到能更好表達(dá)樣本的特征。

改進(jìn)ALI的基本結(jié)構(gòu)由推理網(wǎng)絡(luò)I、生成網(wǎng)絡(luò)G和判斷器D三部分構(gòu)成，都是由輸入層、隱含層和輸出層構(gòu)成的神經(jīng)網(wǎng)絡(luò)。

改進(jìn)ALI模型首先對(duì)訓(xùn)練數(shù)據(jù)進(jìn)行訓(xùn)練，確定推理網(wǎng)絡(luò)I、生成網(wǎng)絡(luò)G和判別器D的內(nèi)部神經(jīng)元的權(quán)重。之后使用訓(xùn)練好的生成網(wǎng)絡(luò)G對(duì)檢測(cè)數(shù)據(jù)進(jìn)行處理，得到處理后的檢測(cè)數(shù)據(jù)。ALI模型結(jié)構(gòu)流程圖如圖4所示。

改進(jìn)ALI模型的處理流程為：

輸入：訓(xùn)練數(shù)據(jù)D_train，檢測(cè)數(shù)據(jù)D_test;

輸出：處理后的檢測(cè)數(shù)據(jù)D_test_fin。

1） 網(wǎng)絡(luò)采用分批次訓(xùn)練，每次訓(xùn)練都從訓(xùn)練數(shù)據(jù)D_train中隨機(jī)選取固定大小的塊（batch）作為輸入數(shù)據(jù)x，根據(jù)文獻(xiàn)[6]提供的方法，通過(guò)引入一個(gè)損壞過(guò)程[Cx′x]，得到受損數(shù)據(jù)[x′]作為推理網(wǎng)絡(luò)的輸入樣本。

2） 推理網(wǎng)絡(luò)和生成網(wǎng)絡(luò)過(guò)程可以由以下公式表示：

式中：z_hat為推理網(wǎng)絡(luò)輸出結(jié)果;x_tilde為生成網(wǎng)絡(luò)輸出結(jié)果;θ={W1，b1，W2，b2}表示參數(shù)的集合;f和g代表激活函數(shù)sigmod，即當(dāng)神經(jīng)元的輸出接近于1時(shí)為激活狀態(tài)，而輸出是0時(shí)為抑制狀態(tài)。推理網(wǎng)絡(luò)和生成網(wǎng)絡(luò)的目標(biāo)是最小化輸入數(shù)據(jù)x與生成網(wǎng)絡(luò)重構(gòu)數(shù)據(jù)x_tilde之間的平均重構(gòu)誤差。為了防止模型過(guò)擬合，對(duì)損失函數(shù)加入懲罰項(xiàng)，損失函數(shù)如下所示：

隱含層神經(jīng)元j的平均活躍度為：

式中：z_hatj表示在隱含層中神經(jīng)元j的激活度;z_hatj（xi）表示輸入x時(shí)推理網(wǎng)絡(luò)和生成網(wǎng)絡(luò)隱含層神經(jīng)元j的激活度。

式中，ρ是稀疏性參數(shù)。式（10）表示讓推理網(wǎng)絡(luò)和生成網(wǎng)絡(luò)隱含層中神經(jīng)元 j的平均活躍度接近于ρ。為達(dá)到這一稀疏限制的目標(biāo)，在優(yōu)化目標(biāo)函數(shù)中加入一個(gè)額外的懲罰因子，即通過(guò)最小化這一懲罰因子來(lái)實(shí)現(xiàn)[ρ′j]趨近于ρ的效果。所以懲罰因子如下所示：

式中：S2是隱含層中隱含神經(jīng)元的數(shù)量;j代表隱含層中的神經(jīng)元。所以，加入稀疏性要求后的損失函數(shù)為：

式中，β控制稀疏性懲罰因子的權(quán)重。

3） 生成網(wǎng)絡(luò)從服從高斯分布的P（z）中隨機(jī)采樣作為輸入，經(jīng)生成網(wǎng)絡(luò)處理生成x_hat。

4） 將x，x_hat和x_tilde輸入判別器。判別器的目標(biāo)是將生成網(wǎng)絡(luò)的輸出x_hat和x_tilde從真實(shí)樣本x中盡可能分辨出來(lái)，而生成網(wǎng)絡(luò)則要盡可能地欺騙判別器。兩個(gè)網(wǎng)絡(luò)相互對(duì)抗，不斷調(diào)整參數(shù)。判別器的損失函數(shù)為：

5） 將步驟2）～步驟4）重復(fù)k次，完成模型訓(xùn)練。

6） 將檢測(cè)數(shù)據(jù)D_test輸入至訓(xùn)練好的生成網(wǎng)絡(luò)，得到處理后的檢測(cè)數(shù)據(jù)D_test_fin。

3? 實(shí)驗(yàn)結(jié)果與分析

本文使用KDD99 10%數(shù)據(jù)集作為本次實(shí)驗(yàn)的數(shù)據(jù)集。實(shí)驗(yàn)中主機(jī)配置為Intel Core i5?6300HQ CPU，NVIDIA GeForce GTX960 GPU，內(nèi)存4 GB，使用Python 3.5.3編程實(shí)現(xiàn)，深度學(xué)習(xí)框架使用Tensorflow 1.1.0。

為驗(yàn)證本文模型對(duì)網(wǎng)絡(luò)異常行為檢測(cè)的有效性，將本文模型檢測(cè)結(jié)果與網(wǎng)絡(luò)異常行為檢測(cè)中常用的算法模型進(jìn)行對(duì)比實(shí)驗(yàn)。

實(shí)驗(yàn)樣本均來(lái)自同一數(shù)據(jù)集，選擇的模型分別為： DSEBM[7]，DAGMM[8]，AnoGAN[9]。重復(fù)進(jìn)行10次實(shí)驗(yàn)并計(jì)算10次檢測(cè)結(jié)果中準(zhǔn)確率、召回率和F1值的平均值[8]，結(jié)果如表1所示。

由表1可見(jiàn)，本文模型在召回率和F1兩項(xiàng)指標(biāo)方面均優(yōu)于其他的檢測(cè)模型。分析對(duì)比模型如下：

1） DSEBM模型采用逐層次進(jìn)行訓(xùn)練，每一層訓(xùn)練完成之后才進(jìn)行下一層疊加并計(jì)算上一層的參數(shù)。無(wú)法有效對(duì)本文高維度復(fù)雜數(shù)據(jù)集進(jìn)行特征學(xué)習(xí)，導(dǎo)致相較于本文模型檢測(cè)準(zhǔn)確度偏低。

2） 考慮到DAGMM模型雖對(duì)數(shù)據(jù)集使用高斯概率密度函數(shù)（正態(tài)分布曲線）進(jìn)行精確量化，并分解為若干基于高斯概率密度函數(shù)形成的模型，提高了檢測(cè)準(zhǔn)確率。但受本文訓(xùn)練樣本數(shù)量少的限制，DAGMM模型內(nèi)每個(gè)混合模型沒(méi)有足夠多的樣本，協(xié)方差計(jì)算結(jié)果不準(zhǔn)確，故F1值相對(duì)于本文模型較低。

3） AnoGAN模型生成網(wǎng)絡(luò)的梯度更新來(lái)源于判別網(wǎng)絡(luò)，導(dǎo)致生成網(wǎng)絡(luò)更傾向生成重復(fù)但不會(huì)被判別網(wǎng)絡(luò)認(rèn)為異常的樣本，而對(duì)于與生成網(wǎng)絡(luò)生成的相似檢測(cè)數(shù)據(jù)，該模型有很高的檢測(cè)準(zhǔn)確度。AnoGAN模型因缺少諸如本文模型的推理網(wǎng)絡(luò)，導(dǎo)致模型經(jīng)訓(xùn)練未得到正常行為的全部數(shù)據(jù)分布，導(dǎo)致模式崩潰[10]（Mode Collapse）。

為了進(jìn)一步驗(yàn)證本文模型在較少訓(xùn)練樣本情況下的有效性，針對(duì)DAGMM模型和本文模型，縮小實(shí)驗(yàn)樣本量，在訓(xùn)練數(shù)據(jù)中隨機(jī)抽取2 000條數(shù)據(jù)，重復(fù)進(jìn)行10次實(shí)驗(yàn)，并計(jì)算檢測(cè)結(jié)果中準(zhǔn)確率、召回率和F1值，結(jié)果如表2所示。

由表2可見(jiàn)，在訓(xùn)練樣本較少時(shí)，該文模型相對(duì)于DAGMM模型，在準(zhǔn)確率、召回率和F1值3項(xiàng)指標(biāo)方面均有明顯提高。

該文模型的優(yōu)勢(shì)在于運(yùn)用逆向習(xí)得推理機(jī)制，結(jié)合無(wú)監(jiān)督的模型訓(xùn)練和有監(jiān)督的分類、回歸任務(wù)，無(wú)需生成顯性表達(dá)分布，也沒(méi)有繁雜的變分下限，有效避免了在傳統(tǒng)生成模型中復(fù)雜的馬爾科夫鏈的采樣和推斷，在大大降低了訓(xùn)練復(fù)雜度的同時(shí)提高了檢測(cè)準(zhǔn)確度。

上述實(shí)驗(yàn)結(jié)果表明，文章提出的基于逆向習(xí)得推理的網(wǎng)絡(luò)異常行為檢測(cè)模型具有較高的召回率和檢測(cè)精度。

4? 結(jié)? 語(yǔ)

文章針對(duì)網(wǎng)絡(luò)異常行為數(shù)據(jù)收集不均衡以及現(xiàn)有檢測(cè)算法檢出率低等問(wèn)題，提出基于逆向習(xí)得推理的網(wǎng)絡(luò)異常行為檢測(cè)模型。通過(guò)構(gòu)建改進(jìn)ALI模型的網(wǎng)絡(luò)異常檢測(cè)模型，僅使用正常行為數(shù)據(jù)對(duì)模型進(jìn)行訓(xùn)練，然后使用異常檢測(cè)函數(shù)對(duì)比判斷檢測(cè)數(shù)據(jù)是否異常，最終解決了因數(shù)據(jù)不平衡問(wèn)題導(dǎo)致的檢測(cè)正確率低的問(wèn)題。實(shí)驗(yàn)結(jié)果表明，本文模型在樣本數(shù)據(jù)不平衡時(shí)相較于DSEBM，DAGMM，AnoGAN 3種模型具有較高的召回率和檢測(cè)精度，在網(wǎng)絡(luò)異常行為檢測(cè)領(lǐng)域具有一定的應(yīng)用價(jià)值。

參考文獻(xiàn)

[1] 戚名鈺，劉銘，傅彥銘.基于PCA的SVM網(wǎng)絡(luò)入侵檢測(cè)研究[J].信息網(wǎng)絡(luò)安全，2015（2）：15?18.

[2] ZHOU C， PAFFENROTH R C. Anomaly detection with robust deep autoencoders [C]// ACM Sigkdd International Conference on Knowledge Discovery & Data Mining. New York： ACM， 2017： 665?674.

[3] 賈凡，孔令智.基于卷積神經(jīng)網(wǎng)絡(luò)的入侵檢測(cè)算法[J].北京理工大學(xué)學(xué)報(bào)，2017，37（12）：1271?1275.

[4] 王明，李劍.基于卷積神經(jīng)網(wǎng)絡(luò)的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)[J].信息安全研究，2017，3（11）：990?994.

[5] DUMOULIN V， BELGHAZI I， POOLE B， et al. Adversarially learned inference [C]// International Conference on Learning Representations. Toulon： ICLR， 2017： 205?211.

[6] VINCENT P， LAROCHELLE H， BENGIO Y， et al. Extracting and composing robust features with denoising autoencoders [C]// Proceedings of the 25th international conference on Machine learning. Helsinki： ACM， 2008： 1096?1103.

[7] ZHAI S， CHENG Y， LU W， et al. Deep structured energy based models for anomaly detection [C]// 33rd International Conference on Machine Learning. New York： ICML， 2016： 1021?1031.

[8] ZONG B， SONG Q， MIN M R， et al. Deep autoencoding gaussian mixture model for unsupervised anomaly detection [C]// International Conference on Learning Representations. Vancouver： ICLR， 2018： 305?309.

[9] SCHLEGL T， SEEB?CK P， WALDSTEIN S M， et al. Unsupervised anomaly detection with generative adversarial networks to guide marker discovery [C]// International Conference on Information Processing in Medical Imaging. Boone： Springer， 2017： 146?157.

[10] METZ L， POOLE B， PFAU D， et al. Unrolled generative adversarial networks [EB/OL]. [2017?05?12]. https：// arxiv.org/abs/16...02163v4.

[11] 任維武，張波辰，底曉強(qiáng)，等.基于人工蜂群優(yōu)化的密度聚類異常入侵檢測(cè)算法[J].吉林大學(xué)學(xué)報(bào)（理學(xué)版），2018（1）：95?100.

[12] 周棒棒，魏書(shū)寧，唐勇，等.粗糙集屬性約簡(jiǎn)的極限學(xué)習(xí)機(jī)網(wǎng)絡(luò)入侵檢測(cè)算法[J].傳感器與微系統(tǒng)，2019（1）：122?125.

[13] 黃金超，馬穎華，齊開(kāi)悅，等.一種基于集成學(xué)習(xí)的入侵檢測(cè)算法[J].上海交通大學(xué)學(xué)報(bào)，2018（10）：1382?1387.

[14] 周麗娟.一種改進(jìn)的基于TS?BPNN的網(wǎng)絡(luò)入侵檢測(cè)方法[J].陜西理工大學(xué)學(xué)報(bào)（自然科學(xué)版），2018（5）：45?49.