入侵检测是网络安全中的重要工作。近年来,随着攻击手段的发展,对网站入侵检测技术和方法提出了更高的要求。Web入侵检测技术主要有URL识别、规则匹配和日志分析,存在着泛化能力差、入侵行为特征难以提取、以及异常信息难以检测等局限。入侵行为的标注专业度要求高,需要大量人工成本。基于正样本和无标记样本的机器学习方法(Positive and Unlabeled Learning,简称PU学习),能够在标注样本少的情况下充分利用大量无标注样本中的信息提高系统检测性能。本文从Web入侵行为特征提取和异常行为检测入手,提出了一种引入代价敏感策略的PU学习入侵检测模型,设计并实现了入侵检测可视化系统,取得了较好的效果。主要研究成果如下:(1)提出了一种特征提取和异常行为检测方法。针对入侵检测技术不能有效提取样本特征和发现异常行为等问题,本文提出了一种异常行为检测方法,基于统计学方法对网站的页面结构和用户访问行为分析提取网站请求数据中的攻击行为,对相似的访问行为进行迭代计算识别出异常行为。在CSIC 2010数据和某门户网站的访问数据上实验,检测率达到了98.99%。(2)提出了一种引入代价敏感策略的PU学习入侵检测模型。针对入侵行为标注样本少和入侵检测系统泛化能力差等问题,本研究基于PU学习“两阶段”法建立入侵检测模型,在模型中引入代价敏感策略,将用户请求行为与用户IP地址相关联为异常用户赋予权重,优化第一阶段RN(Reliable Negative Documents)的求解过程;在第二阶段中对异常行为特征进行相似度计算,以减小在分类过程中因样本分布不均衡带来的偏差问题。实验结果证明,本文的入侵检测模型可以有效提高入侵检测系统的识别能力和泛化能力。(3)基于上述研究内容,本文设计并实现了入侵检测可视化系统,该系统充分地考虑了真实的网络环境,融合来自网站防火墙和网站请求日志中的数据,通过预处理模块和入侵检测模块分析数据包中是否存在入侵行为,最后通过可视化界面直观展示系统分析结果,实现了网络安全事件统计、攻击行为报警等功能。本系统扩展了现有网络安全可视化展示系统的功能。