网络环境的不断变化,带来了攻击方式的层出不穷,也给入侵防御系统的发展带来了前所未有的挑战。入侵防御系统是一种可以主动、快速响应网络攻击行为的网络安全防护系统,它串联在网络中,一般都被部署在网络的关键路径上,对流经它的网络流量进行检测,从中发现异常行为。IPS要高效的检测异常行为,必须拥有一个有效的攻击特征库。IPS的攻击特征库中不仅要包含已知的所有攻击特征,还要对这些特征进行有效的组合,便于系统对特征库中的特征进行快速准确的匹配。攻击特征库建立的核心是特征的分析和提取,本论文对一些带有攻击行为的网络日志文件中数据包中的信息进行分析,仔细查看这些日志文件的共同点和不同点,总结这些日志文件中所带有的攻击特征,提取出一类攻击的特征。Snort是一个功能强大的入侵检测系统,它设计灵活,可扩展性强,本论文对snort特征库中特征的分析、提取进行研究,结合它特征的组织方式以及匹配方式,对攻击特征库的建立方法进行研究,提出了分层攻击特征库的思想。第一层特征库中的规则以网络协议进行分类,不同的数据包对应不同协议的特征,第二层特征库使用网络流量和负载内容的特征,对从第一层特征库流经但是未检测出攻击的流量进行匹配。通过对特征库的分层,可以有效的减少第一次的处理数据包的数量,提高效率。