面对着越来越复杂的网络环境,网络入侵检测成为网络安全设施中不可或缺的重要组成部分。然而,传统的入侵检测软件正在经历越来越大的考验。随着千兆以太网的普及,单机软件实现的检测引擎显得势单力孤,无法承受如此快速的数据流,而且网络攻击手段也越来越多,简单的数据包内容匹配和简单的协议分析已经无法适应新的安全需求。客观上需要一种能够适应大流量网络环境,并且能深入进行协议分析的检测软件的出现。入侵检测引擎是整个入侵检测软件的核心,它的效率很大程度上决定了系统的效率。引擎效率既可以通过采用高性能算法来提高,也可以通过引擎的硬件实现来提高,本系统通过负载均衡设备将网络数据流按照四元组信息进行分流,使用多台分析机进行检测处理,从而达到千兆网的要求。对于更大流量的网络环境,只需要并行更多台分析机即可以达到要求。与传统的基于单机引擎效率的改善,这种并行处理方式,能够灵活的配置以适用各种级别的网络环境。在提高引擎性能方面,系统采用协议分析和特征分析结合的方式。与传统协议分析不同之处在于,通过应用层的协议还原,引擎可以针对应用层协议进行分析,从而更大的提高了入侵检测软件的性能。本文介绍了一种简单的检测规则定义。借鉴以往成功案例,采取关键词解析方式执行规则。并且对规则数进行平滑,依照端口规则降低规则树高度,提高了规则的遍历速度。另外,通过采用规则依赖机制跟踪网络流中的攻击回话,降低了引擎的误报率,能够更加密切的跟踪网络的安全情况。在本文最后使用一些常用的软件测试方法对引擎进行了简单的测试工作,测试结果表明引擎的效率和性能达到了预想的水平,能够使用多种实际网络环境的需要。