信息保障不同于传统的安全技术,它强调信息系统的整个生命周期的防御和恢复。入侵检测系统作为信息安全保障的一个重要部分,可以较好的弥补传统的保护机制不能解决的问题。数据流挖掘作为从连续不断的数据流中挖掘有用信息的技术,已经成为数据挖掘领域的研究热点。由于数据流的快速到达和数据规模巨大等原因,传统数据挖掘技术难以满足其要求,正面临着新的挑战。网络数据传输速度高、传输量大,有数据流的内在特征,本文从数据流挖掘的角度认识、分析网络数据流,深入研究了流场景下的增量决策树算法。传统的决策树算法以批处理的方式处理离散属性,对连续属性往往需要预处理之后才能使用决策树算法进行分类,另外对于大规模的数据集而言批处理的方式也受限于软硬件条件而往往不能发挥有效作用。针对入侵检测的实时需求和网络流数据的特点,本文提出了一种改进的基于红黑树的增量决策树算法在线处理数据,并针对连续属性的特点进行了优化处理,降低算法的时间复杂度并提升了系统的快速响应性能。最后使用改进后的算法建立一个增量的入侵检测模型,使用麻省理工大学的Darpa 1998离线数据作为入侵检测系统的测试数据。试验结果表明,算法能够很好的适应在线实时检测的任务,具有很好的检测性能。