【正文】 所述，為小波函數(shù)為sigmoid函數(shù))?；谛〔ňW(wǎng)絡(luò)算法的入侵檢測模型的仿真程序[13] 進(jìn)行編程,訓(xùn)練樣本數(shù)據(jù)和測試數(shù)據(jù)都選用經(jīng)過預(yù)處理過的數(shù)據(jù)。誤差反向傳播神經(jīng)網(wǎng)絡(luò)采用BP算法進(jìn)行訓(xùn)練和學(xué)習(xí)，該算法利用了均方誤差和梯度下降法來實現(xiàn)對網(wǎng)絡(luò)連接權(quán)的修正，修正的目標(biāo)是使網(wǎng)絡(luò)實際輸出與規(guī)定輸出之間的均方誤差最小。按減小期望輸出與實際輸出的誤差方向，從輸出層經(jīng)各隱含層逐層修正各連接權(quán)，最后回到輸入層，故得名“誤差逆?zhèn)鞑W(xué)習(xí)算法”。這兩個階段的工作一般應(yīng)受到精度要求的控制，在這里，取 作為網(wǎng)絡(luò)關(guān)于第p個樣本的誤差測度?！靶‰S機數(shù)”用來保證網(wǎng)絡(luò)不會因為權(quán)過大而進(jìn)入飽和狀態(tài)，從而導(dǎo)致訓(xùn)練失?。弧安煌笨梢员ＷC網(wǎng)絡(luò)可以正常地學(xué)習(xí)。 BP網(wǎng)絡(luò)的訓(xùn)練及算法BP網(wǎng)絡(luò)的訓(xùn)練過程也是根據(jù)樣本集對神經(jīng)元之間的聯(lián)接權(quán)進(jìn)行調(diào)整，和其它人工神經(jīng)網(wǎng)絡(luò)一樣由于BP網(wǎng)絡(luò)按有導(dǎo)師訓(xùn)練的方式進(jìn)行學(xué)習(xí)，所以它的樣本集是由形如(輸入向量，期望輸出向量)的向量對構(gòu)成。 （1）初始化網(wǎng)絡(luò)參數(shù)為伸縮因子和平移因子，以及網(wǎng)絡(luò)連接權(quán)重賦以隨機的初始值； （2）輸入學(xué)習(xí)樣本矢量及相應(yīng)的期望輸出d；（3）網(wǎng)絡(luò)自學(xué)習(xí)，利用當(dāng)前網(wǎng)絡(luò)參數(shù)計算出網(wǎng)絡(luò)的輸出 （4）計算瞬時梯度，令則瞬時梯度分別為： （5）誤差反向傳播,在網(wǎng)絡(luò)訓(xùn)練過程中令調(diào)整參數(shù)有：當(dāng)誤差函數(shù)小于預(yù)先設(shè)定的某個值，則停止網(wǎng)絡(luò)學(xué)習(xí)，否則返回輸入學(xué)習(xí)樣本矢量步驟。小波特征分類器表示：,其中表示第n次訓(xùn)練輸出結(jié)果，M表示輸入層直接的連接權(quán)值，K表示隱層單元數(shù)，以表示隱層第k個單元與輸入層之間的連接權(quán)值，而為sigmoid函數(shù)。在給定輸入/輸出時，可用于逼近相應(yīng)的輸入/輸出關(guān)系。從輸入層輸入的矢量信號x經(jīng)過中間層網(wǎng)絡(luò)激勵函數(shù)映射，得到一組小波基函數(shù)，…, 表達(dá)的神經(jīng)元變換。小波分析和神經(jīng)網(wǎng)絡(luò)的結(jié)合有下述兩種途徑：1)松散型結(jié)合，即小波分析作為神經(jīng)網(wǎng)絡(luò)的前置處理手段，為神經(jīng)網(wǎng)絡(luò)提供輸入特征向量；2）融合型結(jié)合，即小波分析和神經(jīng)網(wǎng)絡(luò)直接融合，以小波函數(shù)形成神經(jīng)元。這種形式的網(wǎng)絡(luò)雖然基函數(shù)選取靈活，但由于框架可以是線性相關(guān)的，使得網(wǎng)絡(luò)函數(shù)的個數(shù)有可能存在冗余，對過于龐大的網(wǎng)絡(luò)需要考慮優(yōu)化結(jié)構(gòu)的算法。根據(jù)基函數(shù)和學(xué)習(xí)參數(shù)的不同選取，小波神經(jīng)網(wǎng)絡(luò)又可分為3種形式的網(wǎng)絡(luò)：（1）連續(xù)參數(shù)的小波神經(jīng)網(wǎng)絡(luò) 這種小波神經(jīng)網(wǎng)絡(luò)類似于徑向基函數(shù)神經(jīng)網(wǎng)絡(luò)，但借助于小波分析理論，可使網(wǎng)絡(luò)具有較簡單的拓?fù)浣Y(jié)構(gòu)和較快的收斂速度，但由于尺度和平移參數(shù)均可調(diào)，使其與輸出為非線性關(guān)系，通常需利用非線性優(yōu)化方法進(jìn)行參數(shù)修正，易帶來類似BP網(wǎng)絡(luò)參數(shù)修正時存在局部極小的弱點。2．融合型結(jié)合小波和神經(jīng)網(wǎng)絡(luò)直接融合，即小波元代替神經(jīng)元。小波分析和神經(jīng)網(wǎng)絡(luò)得到了廣泛的研究，是在BP神經(jīng)網(wǎng)絡(luò)的基礎(chǔ)上，考慮和分析了BP神經(jīng)網(wǎng)絡(luò)的激勵函數(shù)的特點，以及BP神經(jīng)網(wǎng)絡(luò)的結(jié)構(gòu)，結(jié)合了小波分析的知識而構(gòu)造的。某一項的模式記憶都能根據(jù)某一學(xué)習(xí)規(guī)則(1earning rule)，通過修改處理單元之間連接的權(quán)值存儲到神經(jīng)網(wǎng)絡(luò)模型中，并通過學(xué)習(xí)后的神經(jīng)網(wǎng)絡(luò)模型也能識別新的模式或回憶過去的記憶。這個加權(quán)系數(shù)通常稱為權(quán)值。如此眾多復(fù)雜的連接，也正是神經(jīng)網(wǎng)絡(luò)模型具有強大計算能力的基礎(chǔ)。各個神經(jīng)元之間通過相互連接形成一個網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，這個網(wǎng)絡(luò)拓?fù)涞男问椒Q為神經(jīng)網(wǎng)絡(luò)的互聯(lián)模式。任何一個神經(jīng)網(wǎng)絡(luò)模型都由處理單元（Processing Units)即神經(jīng)單元組成。輸入與輸出具有如下關(guān)系： 為閾值，f（x）是激發(fā)函數(shù)；它可以是線性函數(shù)，也可以是非線性函數(shù)。圖31為人工神經(jīng)元的數(shù)學(xué)模型。神經(jīng)元是神經(jīng)網(wǎng)絡(luò)的基本處理單元，它包含加權(quán)求和模擬細(xì)胞體和處理輸出信號兩部分，一般是一種多輸入/單輸出的非線形系統(tǒng)，它的主要功能是傳遞和處理信息。它是理論化的人腦神經(jīng)網(wǎng)絡(luò)的數(shù)學(xué)模型，是基于模仿大腦神經(jīng)網(wǎng)絡(luò)結(jié)構(gòu)和功能而建立的一種信息處理系統(tǒng)。（2）離散小波變換在實際運用時，需將連續(xù)小波變換離散化處理。對于信號連續(xù)小波變換可重構(gòu)： （36）當(dāng)a較小時，時域上觀察范圍小，而在頻率上相當(dāng)于用較高頻率作分辨率較高的分析，即用高頻小波作細(xì)致觀察。由于t、a、b都是連續(xù)的變量，式（35）稱為連續(xù)小波變換。對于能量有限信號，其連續(xù)小波變換定義為： （35）式中，為 的復(fù)共軛函數(shù)。 (1)連續(xù)小波變換[9]小波具有震蕩特性、能夠迅速衰減到零的一類函數(shù)。在選取或自己構(gòu)造小波函數(shù)時，必須遵循以上兩個準(zhǔn)則。對于任意函數(shù)的連續(xù)小波變換為：， （32）其重構(gòu)公式（逆變換）為： （33）基本小波函數(shù)的選取很重要，常常取決于實際應(yīng)用。包括計算機視覺、計算機圖形學(xué)、曲線設(shè)計、湍流、遠(yuǎn)程宇宙的研究與生物醫(yī)學(xué)方面。它可以用于邊界的處理與濾波、時頻分析、信噪分離與提取弱信號、求分形指數(shù)、信號的識別與診斷以及多尺度邊緣檢測等。基于小波分析的壓縮方法很多，比較成功的有小波域紋理模型方法，小波變換零樹壓縮，小波變換向量壓縮等。(1)小波分析用于信號與圖象壓縮是小波分析應(yīng)用的一個重要方面。現(xiàn)在，對于其性質(zhì)隨實踐是穩(wěn)定不變的信號，處理的理想工具仍然是傅立葉分析?，F(xiàn)今，信號處理已經(jīng)成為當(dāng)代科學(xué)技術(shù)工作的重要部分，信號處理的目的就是：準(zhǔn)確的分析、診斷、編碼壓縮和量化、快速傳遞或存儲、精確地重構(gòu)（或恢復(fù)）。現(xiàn)在，它已經(jīng)在科技信息產(chǎn)業(yè)領(lǐng)域取得了令人矚目的成就。而小波變換在時域和頻域同時具有良好的局部化性能，有一個靈活可變的時間頻率窗，它與Fourier變換、加窗Fourier變換相比，能更有效的從信號中提取信息，通過伸縮和平移等運算功能對函數(shù)或信號進(jìn)行多尺度細(xì)化分析（Multiscale Analysis），解決了Fourier變換不能解決的許多困難問題，從而小波變化被譽為“數(shù)學(xué)顯微鏡”，它是調(diào)和分析發(fā)展史上里程碑式的進(jìn)展。為了克服這一缺陷，提出了加窗Fourier變換。經(jīng)典的Fourier 變換把信號按三角正、余弦基展開，將任意函數(shù)表示為具有不同頻率的諧波函數(shù)的線性迭加，能較好地描述信號的頻率特性，但它在空域（時域）上無任何分辨,不能作局部分析。小波分析的出現(xiàn)被認(rèn)為是傅立葉分析的突破性進(jìn)展，在逼近論、微分方程、模式識別、計算機視覺、圖像處理、非線性科學(xué)等方面使用小波分析取得于許多突破性進(jìn)展。Mallat基于多分辨分析思想，提出了對小波應(yīng)用起重要作用的Mallat算法，它在小波分析中的地位相當(dāng)于FFT 在經(jīng)典Fourier變換中的地位。 第3章小波神經(jīng)網(wǎng)絡(luò)小波分析 (wavelet Analysis) [8]是 20世紀(jì)80年代中期發(fā)展起來的一門數(shù)學(xué)理論和方法，由法國科學(xué)家 Grossman 和 Morlet 在進(jìn)行地震信號分析時提出的，隨后迅速發(fā)展。數(shù)據(jù)融合技術(shù)是解決這一系列問題的好方法。其次，系統(tǒng)的虛警率太高。 （4）入侵檢測的數(shù)據(jù)融合技術(shù)目前的IDS還存在著很多缺陷。許多基于客戶、服務(wù)器結(jié)構(gòu)與中間件技術(shù)及對象技術(shù)的大型應(yīng)用，需要應(yīng)用層的入侵檢測保護。同時不同的IDS系統(tǒng)之間不能協(xié)同工作能力，為解決這一問題，需要分布式入侵檢測技術(shù)與通用入侵檢測架構(gòu)。人們在完善原有技術(shù)的基礎(chǔ)上，又在研究新的檢測方法，如數(shù)據(jù)融合技術(shù)，主動的自主代理方法，智能技術(shù)以及免疫學(xué)原理的應(yīng)用等[7]。因此，檢測入侵者時用模式匹配技術(shù)比使用專家系統(tǒng)更有效。這個模型目的是把入侵檢測的問題轉(zhuǎn)化成模式匹配的問題：系統(tǒng)的審計被視為抽象的事件流，入侵行為檢測器是模式匹配器。3) 根據(jù)審計某一具有偏序關(guān)系的事件序列的出現(xiàn)可以識別的入侵行為。（3） 模式匹配的方法Sandeep Kumar 給出的模式識別的入侵檢測方法可以處理以下四種類型的入侵行為：、1) 通過審計某個事件的存在性即可以確定的入侵行為。在識別出初始狀態(tài)、威脅系統(tǒng)安全的狀態(tài)后，主要應(yīng)分析在者兩個狀態(tài)之間進(jìn)行狀態(tài)轉(zhuǎn)換的關(guān)鍵活動，這些轉(zhuǎn)換信息可以用狀態(tài)遷移圖來描述或用于生成專家系統(tǒng)的規(guī)則，從而用于檢測系統(tǒng)的入侵活動。這里的狀態(tài)是指系統(tǒng)某一時刻的特征，它可以由一系列系統(tǒng)屬性來描述。此外，使用專家系統(tǒng)規(guī)則很難檢測出對系統(tǒng)的協(xié)調(diào)攻擊。專家系統(tǒng)可以自動地解釋系統(tǒng)的審計記錄并判斷他們是否滿足描述入侵行為的規(guī)則。每個規(guī)則具有“IF條件THEN動作”的形式；其中條件為審計將記錄中某個域上的限制條件，動作表示規(guī)則被觸發(fā)時入侵檢測系統(tǒng)所采取的處理動作，可以是一些新事實的判定或是提高某個用戶行為的可疑度。S、NADIR[6]等系統(tǒng)的異常性檢查器中都有一個專家系統(tǒng)模塊。（1） 專家系統(tǒng)早期的入侵檢測系統(tǒng)多數(shù)采用專家系統(tǒng)來檢測系統(tǒng)中的入侵行為。但是，對于一種入侵行為的變種（利用同樣的系統(tǒng)缺陷、同樣的攻擊原理等）卻不一定要檢測出來?；谥R的入侵檢測技術(shù)的優(yōu)勢：如果檢測器的入侵特征模式庫中包含一個已知入侵行為的特征模式，就可以保證系統(tǒng)在受到這種入侵行為攻擊時能夠把它檢測出來。目前基于知識的入侵檢測系統(tǒng)只是在表示入侵模式的方式以及在系統(tǒng)的審計中檢查入侵的機制上有所區(qū)別。目前，這種方法還很不成熟。因此，避開了選擇統(tǒng)計特征的困難問題，使如何選擇一個好的主體屬性子集的問題成為一個不相關(guān)的事，從而使其在入侵檢測中也得到很好的應(yīng)用。該方案還可以采用大型數(shù)據(jù)庫中提取規(guī)則的數(shù)據(jù)挖掘（Data Mining）技術(shù)，從大量的系統(tǒng)審計數(shù)據(jù)中提取出描述用戶特征輪廓的規(guī)則集。如果通過觀測大量地規(guī)則，這些規(guī)則具有較高的預(yù)測性或能夠被確認(rèn)，則把他們放入到規(guī)則庫中。但如何選擇能精確描述主體的正常行為與入侵行為的屬性，則是一個很困難的問題。（2）基于規(guī)則描述的特征輪廓基于規(guī)則描述的特征輪廓則是一組用于描述主體每隔特征的合法取值范圍與其他特征的取值之間關(guān)系的規(guī)則。SRI的NIDES（Next Generation Realtime Intrusion Detection Expert System，早期版本為IDES）就是一個基于統(tǒng)計型特征輪廓的異常性檢測系統(tǒng)。（1）統(tǒng)計性特征輪廓統(tǒng)計型特征輪廓通過某個被監(jiān)控的行為屬性變量的統(tǒng)計概率分布來描述系統(tǒng)行為的輪廓特征，由主體特征變量的頻度、均值以及偏差等統(tǒng)計量來描述。當(dāng)主體的行為特征改變時，對應(yīng)的特征輪廓也相應(yīng)改變?；舅枷胧牵和ㄟ^對系統(tǒng)審計數(shù)據(jù)的分析建立起系統(tǒng)主體（單個用戶、一組用戶、主機、甚至是系統(tǒng)中的某個關(guān)鍵的程序和文件等）的正常行為特征輪廓；檢測時，如果系統(tǒng)中的審計數(shù)據(jù)與已建立的主體的正常行為特征有較大出入就認(rèn)為是一個入侵行為。有經(jīng)驗的入侵者還可以通過緩慢的改變它的行為，來改變?nèi)肭謾z測系統(tǒng)中用戶正常行為模式，使其入侵行為逐步變?yōu)楹戏ǎ@樣就可以避開使用異常性檢測技術(shù)的入侵檢測系統(tǒng)的檢測。但是，在許多環(huán)境中，為用戶建立正常行為模式的特征輪廓以及對用戶活動的異常性進(jìn)行報警的門限值的確定都是比較難的事。但這種方法需要對系統(tǒng)的缺陷盡可能地了解；否則，入侵者只需要簡單地利用那些安全系統(tǒng)未知的缺陷就可以避開檢測系統(tǒng)。另外，系統(tǒng)在遭受攻擊之后，入侵者也可能在系統(tǒng)中安裝一些安全性后門以方便后續(xù)對系統(tǒng)的進(jìn)一步攻擊。靜態(tài)是指檢查系統(tǒng)的靜態(tài)特征（系統(tǒng)配置信息），而不是系統(tǒng)中的活動。入侵檢測主要采用的技術(shù)分為：靜態(tài)配置技術(shù)、異常檢測技術(shù)和誤用檢測技術(shù)，另外還有一種新的思想是基于系統(tǒng)關(guān)鍵程序的安全規(guī)格方法及通過構(gòu)架陷阱進(jìn)行入侵檢測。A、E、D及R盒之間的通信都基于GIDO（generalized Intrusion detection objects，通用入侵檢測對象）和CISL（mon intrusion specification language，通用入侵規(guī)范語言）。 4）事件響應(yīng)器（Response unit,