本发明涉及网络安全领域，具体涉及一种网络入侵行为检测的动态数据流聚类方法，针对网络入侵行为检测的数据对象,将稀疏约束整合到数据对象的检测中学习，得到稀疏矩阵；拟议字典初始化策略；基于所述稀疏矩阵采用所述字典初始化策略将知识有效地传递给当前的滑动窗口，该方法涉及网络入侵行为检测的数据对象聚类，充分利用了稀疏表示技术来利用数据对象的内在特征，自动选择相邻数据对象的数量，保证高度相关的数据对象被表示在一起，将以前学到的知识传递给当前的滑动窗口，大大丰富了网络数据对象之间的关系，提高了数据流的聚类性能，适当的字典和滑动窗口大小可以用来控制的整体计算成本，本方法迭代次数相对较少。