Et indtrængningsdetekteringssystem overvåger netværkstrafik eller værtsaktivitet for tegn på et angreb. Det advarer, når noget ser galt ud. Det blokerer ikke. Det er forskellen fra et indtrængningsforebyggelsessystem, som sidder inline og kan droppe trafik. Et IDS er passivt. Det observerer, analyserer og rapporterer. Analytikeren beslutter, hvad der skal gøres.

Detektionsmetoder varierer. Signaturbaserede systemer matcher kendte angrebsmønstre. De fanger det, de har set før, og overser alt andet. Anomalibaserede systemer opbygger en basislinje af normal adfærd og markerer afvigelser. De fanger nye angreb, men genererer flere falske positiver. De fleste implementeringer bruger begge dele. Netværksbaserede IDS overvåger trafik på strategiske punkter. Værtsbaserede IDS overvåger processer, filændringer og systemkald på individuelle maskiner. Mængden af ​​advarsler er det konstante problem. Et dårligt indstillet IDS drukner analytikere i støj. De holder op med at være opmærksomme. Ægte advarsler bliver overset. Justering er ikke en engangsopgave. Netværk ændrer sig. Nye applikationer dukker op. Basislinjen ændrer sig. Et IDS, der var veljusteret sidste år, kan være ubrugeligt i dag.

IDS-typer

• Netværksbaseret — overvåger trafik ved netværksudtag
• Værtsbaseret — overvåger aktivitet på individuelle enheder
• Signaturbaseret — matcher kendte angrebsmønstre
• Anomalibaseret — markerer afvigelser fra normal adfærd

En IDS er en røgdetektor. Den slukker ikke ilden. Den fortæller dig, at der er en.