在现代社会互联网的髙速发展过程中,黑客入侵的现象尤其严重,比如入侵攻击、拒绝服务攻击、网络资源的滥用等入侵行为,使网络面临着越来越严重的安全威胁,同时也给全球带来各种各样的负面影响。据统计,在全球范围内,每十几秒就会有一件黑客攻击事件的发生,这些攻击事件的出现给全球带来了巨大的经济损失。一系列入侵事件,让我们不得不对我们的网络安全加强重视。一般来说,我们通常使防火墙技术、入侵检测系统、安全卫士等等来确保我们的网络不被入侵。因此,入侵检测在网络安全体系结构中发挥着关键作用。针对此现状,本文设计了一个在Windows系统下,基于网络数据包分析的入侵检测系统运行的方案。依次通过提交需求、受理需求、收集数据、检测分析、生成报告等流程设计整个系统。为了方便用户的使用,本文将系统的使用人员分为普通用户和管理员。普通用户通过登录系统,提交给管理员要检测的内容,然后等待管理员检测结果,最终通过下载检测的报告来查看结果。管理员的功能就是受理用户的需求,然后根据用户的需求采集需要的数据信息,再对采集到的数据进行分析,分析完成之后,把分析的结果以报告的形式上传到服务器,以供用户下载和查看。本方案的设计极大地方便了普通用户的使用,只需用户提交取证需求此后等待结果即可。而且本系统的设计有利于后期的维护,只需要在客户端部分添加用户提交需求的分类,在服务器端增加捕获数据的技术,即可完善这个系统。因为本系统是基于网络数据包分析的,因此本系统的设计重点在采集数据包和分析数据包部分。捕获数据包的方法多种多样,经过分析,本方案使用Snort采集我们需要的数据包,然后用改进的k-means聚类算法进行分析,从而进行检测。在实验中,我们分别用三种方法对数据包进行了分析和比较,即改进的k-means聚类算法、使用Snort中的规则集、改进的聚类算法等三种方法。我们利用Snort捕获数据包,在它的预处理阶段进行规则匹配的时候可以检测出一部分带有危险信息的数据包,然后我们把剩余的包再次进行分析,进而提高入侵检测系统的准确率。