传统的入侵检测系统在低速网络中能够较好的工作,但在高速网络中却有较大的性能瓶颈和处理缺陷。主要表现在两个方面:一是前端报文捕获速率不高,丢包现象严重。二是后端数据处理速率不高,主要是入侵检测系统的检测引擎处理效率低,对于占据了大部分流量的基于TCP协议的应用层协议没有优良的处理机制,从而在高速网络环境下误报漏报现象严重。本文在对Snort系统源代码进行研究与分析的基础上,提出了一种高速网络环境下入侵检测系统的设计与实现方案。包括两个方面:第一,针对传统入侵检测系统报文捕获模块在高速网络下的各种瓶颈,提出了一种高速网络环境下的基于零拷贝算法的报文捕获解决方案。该方案从减少数据拷贝次数,优化网卡驱动中断处理机制,减少上下文切换等方面等对报文捕获模块进行优化,在一定程度上提高报文捕获性能。第二,针对传统入侵检测系统检测引擎处理效率低,在高速网络环境下误报漏报率较高的缺陷,设计了协议分析模块。该模块借鉴了Snort预处理模块中协议分析的思想,并对其进行了更加丰富的设计,从而可以提高基于TCP协议的应用层协议的检测效果。此外,本文以Snort源码为原型,对本文提出的两个主要模块进行了实现,并在模拟的千兆网络环境下进行了测试,测试结果表明本文提出的入侵检测系统在性能上有一定程度的提高。