随着Internet的不断发展,网络安全问题也日益突出。IPv6作为Internet协议的下一版本,具有地址空间大,更强的移动性和安全性等特点,将最终取代IPv4协议。但是,IPv6并不能完全解决网络安全问题。入侵检测系统作为一种有效的网络安全工具,依然能够在IPv6环境下发挥极其重要的作用,因此对于IPv6网络入侵检测系统的研究具有重要的意义。误用检测和异常检测是主要的两种入侵检测技术,各有其优缺点。误用检测对已知攻击有较好的检测率,但需要随时更新特征库,且不能发现未知攻击;异常检测能发现未知攻击,但误报率和漏报率较高,难以投入实际的应用。为解决以上问题,本文进行了如下研究:在研究误用检测技术的基础上,对基于特征的Snort系统进行了分析,并在此基础上,实现了Snort向IPv6网络环境的移植,包括IPv6协议的解析、IPv6分片重组、IPv6相关规则的编写和IPsec的处理等相关技术,使得该系统能同时工作在IPv4和IPv6网络中。在研究了异常检测技术的基础上,实现了基于马尔可夫链的异常检测算法,给出了利用马尔可夫链对几种常见协议类型的建模结果,包括TCP协议的FTP协议模型、HTTP协议模型、TELNET协议模型和TCP协议总体模型,UDP协议的DNS协议模型。在以上工作的基础上,设计和实现了一种误用检测和异常检测相结合的入侵检测系统。给出了系统的总体设计方案和模块设计:包括捕包模块、协议解析模块、预处理模块、异常检测模块、规则匹配模块和响应模块。最后对系统进行测试和分析。试验表明,该系统对已知攻击和未知的协议异常类攻击具有良好的检测效果。