يراقب نظام كشف التسلل حركة مرور الشبكة أو نشاط الأجهزة بحثًا عن علامات هجوم. وينبه عند ملاحظة أي خلل، دون حظر. وهذا ما يميزه عن نظام منع التسلل، الذي يعمل بشكل مباشر ويمكنه حجب حركة المرور. نظام كشف التسلل سلبي، فهو يراقب ويحلل ويرفع التقارير، ثم يقرر المحلل الإجراء المناسب.

تختلف أساليب الكشف. تعتمد الأنظمة القائمة على التوقيعات على مطابقة أنماط الهجمات المعروفة، فترصد ما سبق رصده وتتجاهل ما عداه. أما الأنظمة القائمة على رصد الشذوذ، فتبني خطًا أساسيًا للسلوك الطبيعي وتُشير إلى أي انحرافات عنه، فترصد الهجمات الجديدة ولكنها تُنتج عددًا أكبر من الإنذارات الكاذبة. تستخدم معظم التطبيقات كلا النوعين. يراقب نظام كشف التسلل الشبكي حركة البيانات في نقاط استراتيجية، بينما يراقب نظام كشف التسلل المضيف العمليات وتغييرات الملفات واستدعاءات النظام على الأجهزة الفردية. يُعدّ حجم التنبيهات مشكلة مستمرة، فنظام كشف التسلل غير المُحسَّن يُغرق المحللين في ضوضاء لا طائل منها، فيتوقفون عن الانتباه، وتُفوَّت التنبيهات الحقيقية. لا يُعدّ التحسين مهمة تُنجز لمرة واحدة، فالشبكات تتغير، وتظهر تطبيقات جديدة، ويتغير الخط الأساسي. قد يكون نظام كشف التسلل الذي كان مُحسَّنًا جيدًا العام الماضي عديم الفائدة اليوم.

أنواع أنظمة كشف التسلل

• قائم على الشبكة - يراقب حركة البيانات عند نقاط الوصول إلى الشبكة
• قائم على المضيف - يراقب النشاط على الأجهزة الفردية
• يعتمد على التوقيعات - يطابق أنماط الهجوم المعروفة
• يعتمد على رصد الحالات الشاذة — يشير إلى الانحرافات عن السلوك الطبيعي

جهاز كشف الدخان هو جهاز إنذار حريق. لا يقوم بإطفاء الحريق، بل يُعلمك بوجوده.