网络技术的快速发展和网络应用的普及给人类生产和生活带来了革命性的变化,这也使得人类面临着一种新的威胁—网络安全。入侵检测技术作为一种必要的安全手段,在网络安全领域发挥着其独到的作用。Snort作为典型的轻量级网络入侵检测系统,属于所谓的误用检测模式。该方法是事先设定好入侵规则库,然后通过规则匹配来发现入侵数据,其最大缺陷就是不能发现新的入侵行为,漏报率较高。以Snort为例研究误用检测模型的改进问题,使其具备对于新入侵行为的检测能力具有重要的理论和实际意义。本文在深入剖析Snort系统检测机制的基础上,通过分析固有检测机制存在的对于新的入侵行为无能为力、漏报率较高、检测速度以及缺少规则库自动扩充机制等问题,引入数据挖掘理论,设计了基于数据挖掘理论的Snort网络入侵检测系统的改进模型。该模型在Snort检测模型的基础上增加了正常行为模式挖掘模块、异常检测引擎模块、数据分类模块和新规则生成模块。分析表明,新模型使得系统同时具有了从新的入侵行为中学习新规则和从正常数据中学习正常行为模式的双重能力,从而达到对于新入侵行为的检测和提前分流正常系统行为的目标。根据该改进模型,设计并实现了一个基于数据挖掘的Snort入侵检测系统。经过采用林肯实验室的样本数据对改进系统的测试,测试结果表明,新模型具备了规则自动扩充机制,能够有效地检测到新的入侵行为,进而降低了Snort系统的漏报率,同时提高了系统的检测效率。