为了实现对网络行为的监控从而达到网络行为的规范化，本文研究了Snort的工作原理，分析了即时通信的协议以及用户上网浏览网页相关的协议和技术，实现了局域网内用户所进行网络活动的协议还原，以及对用户的一般网络行为进行识别和监控。主要工作如下： 1、研究了开源入侵检测系统Snort的代码和工作原理，了解了网络嗅探技术以及网络入侵检测系统的相关技术，这有助于随后的普通用户网络行为还原的研究，这是因为它们都是基于网络抓包，都要对对协议进行分析和处理，具有一定的相通性。 2、通过协议分析工具对即时通信协议进行分析，主要研究了MSN协议，包括它工作的原理，各种功能的协议实现方式，以及相对应的检测方法。研究了如何实行监控响应，对MSN用户进行阻断和告警，以及聊天内容还原相关的一些技术。 3、重点研究了浏览网页相关的一些协议还原技术，包括(1)如何对用户访问的url进行还原，涉及到如何从大量的url中过滤真实的用户点击；如何利用神经网络技术对url对应的网页类型进行识别；以及bbs和搜索引擎使用的监控；(2)对网页内容的解析和还原，主要是通过处理HTML文本，将其中的资源文件进行保存以及对源文件进行一些改动。本文在snort核心引擎的基础上，添加了一些插件和其他功能来实现，经过测试结果令人满意。