随着网络技术的日益发展,网络安全问题也变得日益严峻。异常行为检测作为一种积极主动的安全防护技术,在网络系统受到危害之前拦截和响应入侵,对网络主体进行纵深、多层次的防御,受到了研究者的高度重视。目前入侵检测技术多采用专家系统或事后分析的方法,缺乏对入侵行为的在线实时检测能力。网络异常行为分析是从大量的网络信息当中发现网络异常行为,从而能采取一定的安全措施。论文在入侵检测特征与分析的基础上,研究异常行为检测技术,旨在指导在线网络异常行为分析模型和系统的设计。论文主要工作内容如下:①分析了网络异常行检测的重要性,针对入侵行为特征分析了TCP/IP协议,分析了网络的脆弱性以及常见的入侵行为及其特征,为异常行为分析的数据特征提取提供了一定的依据。②研究了当前异常行为检测技术,在基于局部异常值概念的基础上,提出一种无监督的增量的异常行为检测算法,提高了异常检测效果,降低了异常检测的误报率。在该算法的基础上设计了一种异常行为检测模型,该模型实现了在线实时异常行为检测,使得能尽早的发现网络中的异常行为,从而采取一定的安全措施。③在Linux操作系统下,利用Libpcap开源函数库实现了异常行为检测原型系统。该原型系统对网络数据流特征进行实时统计分析,然后对其进行异常行为检测,实时发现网络中的异常行为。通过实验测试,验证了网络异常行为检测模型的有效性和正确性。