入侵检测系统对于传统网络环境,能够较好的保护网络资产。但随着DevOps、容器、中台等新兴技术的出现,网络空间的拓扑结构更加复杂,业务流量更加繁重,网络服务迭代更加频繁。面对这种网络空间的新形势,暴露出传统入侵检测模型中隐含的几个问题:(1)大数据环境和云环境带来的并发量高、协议种类多、网络属性多、数据量大等问题,传统入侵检测模型难以充分利用已有数据资源,检测网络威胁;(2)DevOps交付模式带来的网络环境的改变,使得入侵检测系统所处的环境也随之改变,面对快速迭代的网络环境,如何确保入侵检测系统能够快速适应新环境,应对新出现的网络威胁;(3)攻击行为相对于用户的正常行为,数量存在较大的差距,如何在正负样本相差较大的情况下,训练分类器去检测入侵行为。为了实现一个高效、准确的入侵检测系统,本研究进行了如下工作:(1)针对网络数据属性多、正负样本及新旧样本相差较大的问题,提出了一种基于融合特征的特征提取方法,将从多种维度提取的特征,从流量路径提取的特征,以及原始的流量属性,这些高维度的特征,融合为低维度高质量的新特征,从数据层面提升了入侵检测系统对不平衡问题的适应性;(2)针对入侵检测中分类器中存在的过拟合问题,提出了一种基于改进随机森林的入侵检测方法,将网络流量构建为图结构,使用NetClus聚类算法,对图结构进行聚类,得到行为相似的簇,然后对每一个簇分别进行训练,综合得到一个准确度高的判断结果;(3)基于CIC IDS 2018的入侵检测数据,验证了本文中提出方法的有效性。