入侵检测系统 (IDS) 会监控网络流量或主机活动，以发现攻击迹象。一旦发现异常情况，它会发出警报。它不会进行拦截。这与入侵防御系统 (IPS) 的区别在于，IPS 部署在网络内部，可能会丢弃流量。IDS 是被动的，它负责观察、分析和报告，最终由分析人员决定采取何种措施。

检测方法多种多样。基于特征码的系统匹配已知的攻击模式，只能捕获之前遇到过的攻击，而无法识别其他攻击。基于异常的系统则建立正常行为基线并标记异常情况，能够捕获新型攻击，但误报率较高。大多数部署方案会同时采用这两种方法。基于网络的入侵检测系统 (IDS) 监控关键节点的流量，而基于主机的 IDS 则监控单个机器上的进程、文件更改和系统调用。警报数量始终是一个难题。配置不佳的 IDS 会让分析人员被大量噪音淹没，导致他们注意力分散，错过真正的警报。配置并非一劳永逸，网络会不断变化，新的应用程序不断涌现，基线也会随之改变。去年配置良好的 IDS 如今可能已经失效。

IDS类型

• 基于网络的监控——监控网络分流点的流量
• 基于主机——监控单个设备上的活动
• 基于特征的攻击——匹配已知的攻击模式
• 基于异常的检测——标记与正常行为的偏差

IDS是烟雾探测器，它本身并不能灭火，只能提醒您有火。