入侵检测是保障网络安全的一种重要手段,它可以实现主动防御,能把攻击造成的损失降低到最低。大规模网络中的入侵行为呈现出协作、分布等特点,而依靠唯一的主机或网络很难发现入侵行为。而且,入侵检测系统产生的警报并不是完全正确的,实际上有很大一部分警报是重报和误报,分析员在处理上浪费了大量的时间和精力,也给系统造成了资源浪费。本文提出了一种大规模网络入侵检测系统数据融合的结构模型,该模型对入侵警报数据进行分析,提取出包含真正攻击的异常警报,过滤掉正常警报以达到减少警报数量、降低误报率的目的。通过互联手段将区域预警中心和总预警中心联系起来,形成系统内部和系统之间的数据流动与信息共享。该结构模型解决了攻击分布或协助不能发现的问题,适应了现有大规模网络入侵检测系统处理海量警报的状况。论文针对入侵检测系统数据融合的关联算法,分析了经典的关联算法和相关算法的不足,提出了一种改进的高效算法。论文论述了该算法的思路和详细步骤,并用实例验证了此算法的正确性。采用KDDCup99数据集和DARPA99入侵检测场景特定的数据集进行仿真实验,实验结果表明,本文提出的数据融合模型和改进的关联算法,大大减少了重复报警,降低了误报率,提高了系统的实时性。