随着Internet的迅猛发展,网络正在影响社会的政治、经济、文化、军事和生活。由于人们对网络的依赖程度不断提高,安全问题变得越来越严峻。入侵检测作为一种积极主动的信息安全技术,提供了对内部攻击、外部攻击和误操作的实时保护,在网络系统受到危害之前拦截和响应入侵行为。近年来人们在入侵检测技术上取得了一些成果,提出了很多适合安全领域的异常检测技术,比如基于统计的异常检测技术、基于机器学习的异常检测技术、基于数据挖掘的异常检测技术,但是仍然有需要改进的地方。本文以降低误报率和提高检测范围为目的,提出了一种基于聚类的无监督异常检测技术。从提高实时性、改善自适应性、提高检测粒度的角度出发,提出了一种改进的混合IDS系统框架,期望为推动本领域的发展作一点贡献。论文的内容主要包括如下几个方面:1.从整体上介绍入侵检测的相关概念,包括体系结构、误用检测和异常检测,然后分析目前国内外的研究现状。2.介绍了异常检测技术的思想,对其进行了归类。详细分析了每类异常检测技术的思想、优缺点,在此基础上总结了现有异常检测技术的不足。3.提出了一种基于聚类的无监督异常检测技术,该模型从多个聚类器中选取DB指数最小的分簇结果,并利用最小簇内距离、最大簇内距离对每个簇进行分类,从而识别出攻击。实验表明该模型明显提高了检测率、降低了误报率。4.提出了一种改进的混合IDS框架,详细分析了其关键技术,包括网络数据包的捕获技术、协议分析技术、异常检测技术、规则格式及生成机制,为设计混合IDS提供了思路。