随着Intemet的迅猛发展,人们对网络的依赖程度不断提高,安全问题变得越来越严峻。近年来,动态网页等技术的兴起使得网站应用丰富起来。而针对网络服务进行攻击的事件也越来越多,根据调查显示,大部分网络攻击事件与网络应用相关。防火墙等传统的安全设备没有利用web服务会话层及应用层的信息,对攻击事件无法做到有效地侦测和防范。鉴于网站公开存取的架构以及网络应用多样性的特点,针对web应用的攻击手段复杂多变,以误用检测为基础的入侵检测系统很难有效使用建立攻击特征的方式进行检测。本文首先介绍入侵检测的相关概念,包括体系结构、误用检测和异常检测。然后对安全领域的异常检测技术进行研究,讨论了每类异常检测技术的思想、优缺点。通过对国内外异常检测现状的研究,总结出目前适用于web服务的异常检测技术。在上述研究背景下,本文提出一种基于HTTP会话的异常检测算法,结合基于HTTP请求属性长度、属性域结构、字符分布特征、属性域枚举的检测算法,对HTTP请求的多个属性进行考察。针对传统IDS的不足,本文设计了一种对服务器和客户端流量进行镜像的入侵检测系统架构,并实现了基于上述web异常检测算法的入侵检测系统。此架构上的入侵检测系统不仅能够完成异常检测功能,而且不会影响web服务器的服务质量。通过从检测率与误报率角度对系统的测试,展示了异常检测模块各个算法以及综合判决的检测效果,表明该系统能有效检测出广泛存在的web攻击。最后对本文所做的工作进行了总结,并展望了未来工作。