針對(duì)計(jì)算機(jī)網(wǎng)絡(luò)訪問請(qǐng)求具有實(shí)時(shí)到達(dá)以及動(dòng)態(tài)變化的特點(diǎn)，為了實(shí)時(shí)檢測(cè)網(wǎng)絡(luò)入侵，并且適應(yīng)網(wǎng)絡(luò)訪問數(shù)據(jù)的動(dòng)態(tài)變化，提出一個(gè)基于數(shù)據(jù)流的網(wǎng)絡(luò)入侵實(shí)時(shí)檢測(cè)框架。首先，將誤用檢測(cè)模式與異常檢測(cè)模式相結(jié)合，通過初始聚類建立由正常模式和異常模式構(gòu)成的知識(shí)庫(kù)；其次，采用數(shù)據(jù)點(diǎn)與數(shù)據(jù)簇之間的不相似性來度量網(wǎng)絡(luò)訪問數(shù)據(jù)與正常模式和異常模式的相似性，從而判定網(wǎng)絡(luò)訪問數(shù)據(jù)的合法性；最后，當(dāng)網(wǎng)絡(luò)訪問數(shù)據(jù)流發(fā)生演化時(shí)，通過重新聚類來更新知識(shí)庫(kù)以反映網(wǎng)絡(luò)訪問的最近狀態(tài)。在入侵檢測(cè)數(shù)據(jù)集KDDCup99上進(jìn)行實(shí)驗(yàn)，當(dāng)初始聚類的樣本數(shù)為10000，緩沖區(qū)聚類的樣本數(shù)為10000，調(diào)節(jié)系數(shù)為0.9時(shí)，召回率達(dá)到91. 92%，誤報(bào)率達(dá)到0.58%，接近傳統(tǒng)非實(shí)時(shí)檢測(cè)模式的結(jié)果，但整個(gè)學(xué)習(xí)和檢測(cè)過程只需掃描網(wǎng)絡(luò)訪問數(shù)據(jù)一次，并引入了知識(shí)庫(kù)的更新機(jī)制，在入侵檢測(cè)的實(shí)時(shí)性和適應(yīng)性方面更具有優(yōu)勢(shì)。