入侵检测系统(Intrusion Detection System,IDS)是一种主动安全防护系统,融合了许多先进理论与方法,其研究具有重要的理论意义与实用价值。入侵检测系统按数据源可分为网络型和主机型,本文研究网络入侵检测系统。现有IDS存在的问题:入侵手段升级迅速,传统的滥用检测(Misuse Detection)方法不易检测,而异常检测方法误报率往往较高;网络带宽正向千兆级发展,而现有网络入侵检测系统(如Snort)若运行在x86平台上,往往在百兆网络中丢包率就已不低,即使运行在NP等高速专用平台上也难以完全负荷千兆级网络流量。本文在对现有入侵检测理论、方法、体系结构以及实例进行了广泛深入研究后,将协议分析、模式匹配、人工免疫三大方法加以改进并整合,以Snort2为原型设计出一种智能网络入侵检测系统,并在其中3个关键模块里作出了创新:改进的协议分析预处理模块中:引入了改进的IP分片重组、TCP流还原和应用层分析,并将小生境遗传与决策树融合以优化分析流程。改进的模式匹配检测引擎中:改进匹配算法并动态化,根据模式长度,把匹配时间看作路径长,把小生境遗传引入最短路径算法,进行模式子集最优划分,并选择相应的最优匹配子算法,设计出智能综合模式匹配算法。改进的人工免疫检测引擎中:采用基于模糊逻辑的表现型/基因型编码,并引入小生境遗传算法改进免疫选择,在减少了所需检测器数量的前提下,仍然能提高检测能力,并且检测器生成所需时间明显减少。模块测试表明:本系统3个关键模块算法与现有算法相比性能均有所提高。总体测试表明:本系统与Snort2相比,ROC曲线和负载性能有一定的改进;具有异常检测能力,能检测未知攻击并自适应学习(需额外占用小部分资源),而Snort2作为纯粹的滥用检测系统,不具备真正意义上的异常检测能力。本系统若运行于x86平台,在百兆网络中丢包率最多能比同等情况下的Snort2低15%。若运行于NP平台,由于其综合匹配和人工免疫算法均比Snort2中的单一匹配算法更具并行性,从而更适合NP的多个微引擎并行处理,并且免疫算法很适合分布式系统,因此预计在未来的千兆级分布式网络入侵检测中,本系统的综合性能将会进一步优于Snort2。