1 現(xiàn)有的典型入侵檢測(cè)系統(tǒng) 1.1 PayloadAD 系統(tǒng) PayloadAD 是一種基于數(shù)據(jù)包負(fù)載的異常入侵檢測(cè)系統(tǒng)， PayloadAD 將數(shù)據(jù)包看成由 0~255 的字節(jié)組成的數(shù)據(jù)流。對(duì)于不同端口數(shù)據(jù)包，有不同字節(jié)分布;對(duì)于常用端口多為可打印字符和加密字符，分布比較隨機(jī);對(duì)于相同端口不同包長(zhǎng)，數(shù)據(jù)包分布也會(huì)不同。根據(jù)以上情況進(jìn)行統(tǒng)計(jì)分布。將由訓(xùn)練集訓(xùn)練得到正常分布與最新數(shù)據(jù)包的字節(jié)分布對(duì)比， 偏離一定程度的數(shù)據(jù)包即認(rèn)為異常。具體算法如下： （1）給定一正常數(shù)據(jù)包集合作為訓(xùn)練集，對(duì)于每一個(gè)數(shù)據(jù)包， 統(tǒng)計(jì)數(shù)據(jù)包字符分布特征即向量 freq［0..255］，freq［k］為字符值 k 在該數(shù)據(jù)包中出現(xiàn)的頻率。 （2）將數(shù)據(jù)包按長(zhǎng)度和目的端口分類(lèi)，對(duì)長(zhǎng)度為 i，目的端口為 j 的數(shù)據(jù)包類(lèi)， 計(jì)算字符在該數(shù)據(jù)包中出現(xiàn)的均值與方差，即用向量 M［i，j］={mean［i，j］［0..255］}，var［i，j］［0.。.255］表示。