网络安全已成为制约信息化发展的瓶颈,作为解决这一问题的关键技术-入侵检测,已成为学术界关注的热点问题之一.大部分入侵并不是独立的,而是按照它的攻击次序相互联系在一起,也就是说在连续性的攻击当中,一个攻击或者大部分攻击是为了下一步的攻击而进行的,并且前一阶段的攻击对下一阶段的攻击产生影响.本论文为了解决以上所提出的问题,利用前提(Prerequisite)和结果(Consequence)把普通的攻击联系在一起.为了表示前提和结果,本论文提出了系统结构.此系统的目的在于把攻击的逻辑性以图形式表示出来,并利用此图有效分析所检测到的入侵行为.系统可分为关联器(Correlator)和分析器(Analyzer).关联器(Correlator)的作用在于找出每个攻击之间的逻辑关系,并且以图形式把它表现出来.分析器(Analyzer)的作用是将关联器(Correlator)制作的图和IDS的实际报警/日志相比较,进行有效的分析.本论文的研究以Snort为基础展开.因此,本文阐述了Snort系统.本文通过对Snort进行改造,实现了基于关联性分析的入侵检测系统,叙述了利用Snort时需要考虑的几个事项,设计了生成图算法,另外还实现了检测算法.