随着信息技术深入发展,网络安全事件频繁发生,不断发生重大安全事件严重危害国家经济安全和公共利益,而传统网络安全措施已经难以满足人们的安全需求。网络中传递的数据规模大、种类多,而且有些攻击的频率相对来说并不高,难以捕捉,为了增强网络的安全性,需要加强对入侵检测技术的研究投入。但是,入侵检测系统因为本身有着无法改变的局限性使得网络入侵检测的误报率和漏报率难以降低,满足不了真实网络中的安全需求。针对上述问题,本文将改进神经网络引入到入侵检测中,具体工作如下:(1)分析入侵检测中数据不平衡的问题,针对该问题提出了一种对比主成分分析(Contrastive Principal Component Analysis,c PCA)结合可改变网络结构的自组织映射(Adaptive Moving Self-organizing Map,AMSOM)的入侵检测模型。详细介绍了c PCA的优点和原理,同时论述了AMSOM的训练及改变输出网络结构的过程,最后通过NSL KDD数据集论证了该模型能够有效检测攻击中的少数类。(2)分析了网络入侵检测中数据流的特点以及处理的难点,针对这些难点,提出了集成降噪自编码在线入侵检测模型来检测异常的数据流。首先介绍衰减窗口和层次聚类如何提取动态历史数据的特征,之后介绍集成降噪自编码的网络结构及训练过程,除此之外还详细介绍了判断异常的阈值的选取方法,最后通过CICIDS2017数据集验证了该模型能够针对数据流进行有效检测。本文的创新点在于以下两个方面:(1)可变网络结构自组织映射的入侵检测模型,c PCA把少数类数据作为对比主成分分析的背景数据,有效针对了数据不平衡的问题,提高模型对少数类入侵攻击的检测能力。而AMSOM在输出层构建一个动态神经元网络,提高泛化能力,维持输入的拓扑结构,以保持与真实网络攻击的对应关系,提高输出神经元的检测识别能力。(2)集成降噪自编码在线网络入侵检测模型,通过衰减窗口和层次聚类提取动态历史数据的特征,在提高特征的抽象程度的同时,有效提升了入侵检测系统的性能。降噪自编码减少了训练数据与测试数据的差异,有效缓解自编码训练过度拟合问题。而异常阈值采用随机方法确定,不同于离线入侵检测,无需扫描完整的数据集,即可选择当前有效的阈值。