随着计算网络环境愈发复杂,海量数据下的传统入侵检测方法具有处理能力有限、单点失效等缺点。基于溯源图和路径的入侵检测方法不适用于大数据环境下的流式数据,溯源路径过长不仅会使检测时间增加,还会导致检测率下降以及误报率上升。根据溯源模型对进程和系统调用间的关系进行了高度抽象,借此提取进程特征并利用kNN(k-Nearest Neighbors,k近邻)算法进行检测而无需整合溯源图,从而提高大数据环境下处理流式数据的能力。方法对收集的溯源信息进行预处理构造测试集,减少溯源信息本身带来的空间开销;针对分布式海量数据环境,利用Kafka消息分发系统进行消息分发,提高检测效率;提出基于OPM-kNN的分布式入侵检测方法,将分发的进程特征与训练集的正常样本进行相似计算,提升检测率降低误报率;利用溯源图的特性,对检测异常的进程进行入侵路径分析,得到漏洞来源。从测试结果来看,该方法比基于溯源图和路径的入侵检测方法提升了0.4%~15%的准确率,检测时间减少了63%~71%;与基于溯源的滑动窗口算法相比,提升了59%~80%的准确率,检测时间减少了98%。结果证明,该方法具有较好的检测功能及较高的检测性能,溯源信息的空间开销也在可接受范围之内。