入侵检测是一种用于检测计算机网络系统中入侵行为的网络信息安全技术。本文针对入侵检测技术的发展趋势和应用需求,研究两种典型的入侵检测方法,分别是基于网络数据包的误用检测方法和基于审计数据的异常检测技术。首先研究了入侵检测系统的标准结构与功能、入侵检测数据源及其产生机制等,对现有的一些入侵检测方法进行了分析与总结。针对实际系统不能完全满足Markov条件,在此基础上建立的模型和检测算法性能不理想的情况,提出一种基于HMM模型的网络入侵误用检测方法。通过HMM模型来刻画和模拟攻击模式,将判断待检测行为属于哪种已知攻击的问题归结为模式的匹配问题,实现了对已知攻击类型的检测和分类。针对U2R和R2L类攻击的高度隐蔽性和极大危害性以及HMM模型在应用过程中存在的无法描述状态驻留、模型学习复杂度偏高、模型对审计数据的规律性转移很难精确模拟等问题,在HMM模型的基础上进行改进,提出主要针对U2R和R2L类攻击的基于HsMM模型的主机型入侵异常检测系统。在训练时间增加不多的情况下,提高了系统的检测性能,大幅降低了检测的误报率和漏报率。最后研究了入侵预报问题,重新定义了描述入侵检测的HsMM模型结构,通过分配各个系统调用的风险性确定状态驻留的时间。计算当前系统调用序列的产生概率来判定当前主机行为是否异常及其后续系统调用发生异常的概率,提前发现其中具有高度入侵危险的进程,并估计该进程发生一次入侵攻击的大致时间,从而在攻击实施前发现企图,为主动入侵防御赢得时间。