入侵检测技术能够同时检测来自系统外部和内部的攻击,并对检测到的入侵行为作出响应。随着网络技术的发展和网络带宽的迅速增长,入侵检测系统的处理速度由于无法与高速网络带宽相匹配而产生丢包,导致对嵌入在数据包中的入侵行为的漏检,因此如何提高入侵检测系统处理速度成为当前研究热点。针对单个分析检测引擎在网络流量较大时不能及时处理数据而产生丢包的问题,设计了基于集群的入侵检测系统结构,该系统包括网络数据包捕获、协议分流、负载分流等9个功能模块,介绍了系统的数据流图和处理流程。综合考虑各分析检测引擎对负载均衡、数据完整的要求和网络数据包的特征,设计了负载分流算法。该算法通过将分析检测任务分配到集群中多个分析检测引擎,减轻单个引擎负载,提高系统的整体性能。针对分析检测引擎中常用的模式匹配算法—AC_BM算法预处理时间长、移动步长有待改进的问题,提出一种改进的多模式匹配算法—TLFSA。该匹配算法采用有限状态自动机构造模式树,能同时对多个模式进行匹配;选择当前失配字符与此轮匹配首字符的前一个字符作为启发字符,选取符合移动规则的最大移动步长作为此次失配的移动步长。实验表明,所设计的体系结构分流后各分析检测引擎收到的数据完整,系统能够有效检测出包含在网络数据包中的入侵行为,通过调节组件数量系统能适应更大流量的入侵检测;同时应用TLFSA算法的分析检测引擎检测时间较短,效率较高,适用于高速网络入侵检测系统的分析检测引擎中。