Ένα σύστημα ανίχνευσης εισβολών παρακολουθεί την κίνηση δικτύου ή τη δραστηριότητα του κεντρικού υπολογιστή για σημάδια επίθεσης. Ειδοποιεί όταν κάτι φαίνεται λάθος. Δεν μπλοκάρει. Αυτή είναι η διαφορά από ένα σύστημα πρόληψης εισβολών, το οποίο βρίσκεται ενσωματωμένο και μπορεί να διακόψει την κίνηση. Ένα IDS είναι παθητικό. Παρατηρεί, αναλύει και αναφέρει. Ο αναλυτής αποφασίζει τι να κάνει.

Οι μέθοδοι ανίχνευσης ποικίλλουν. Τα συστήματα που βασίζονται σε υπογραφές αντιστοιχούν σε γνωστά μοτίβα επιθέσεων. Εντοπίζουν ό,τι έχουν δει στο παρελθόν και χάνουν όλα τα άλλα. Τα συστήματα που βασίζονται σε ανωμαλίες δημιουργούν μια βάση δεδομένων κανονικής συμπεριφοράς και επισημαίνουν αποκλίσεις. Εντοπίζουν νέες επιθέσεις, αλλά δημιουργούν περισσότερα ψευδώς θετικά. Οι περισσότερες αναπτύξεις χρησιμοποιούν και τα δύο. Το IDS που βασίζεται σε δίκτυο παρακολουθεί την κυκλοφορία σε στρατηγικά σημεία. Το IDS που βασίζεται σε κεντρικό υπολογιστή παρακολουθεί τις διαδικασίες, τις αλλαγές αρχείων και τις κλήσεις συστήματος σε μεμονωμένους υπολογιστές. Ο όγκος των ειδοποιήσεων είναι το συνεχές πρόβλημα. Ένα κακώς συντονισμένο IDS πνίγει τους αναλυτές σε θόρυβο. Σταματούν να δίνουν προσοχή. Οι πραγματικές ειδοποιήσεις χάνονται. Ο συντονισμός δεν είναι μια εφάπαξ εργασία. Τα δίκτυα αλλάζουν. Εμφανίζονται νέες εφαρμογές. Η βάση δεδομένων μετατοπίζεται. Ένα IDS που ήταν καλά συντονισμένο πέρυσι μπορεί να είναι άχρηστο σήμερα.

Τύποι IDS

• Βάσει δικτύου — παρακολουθεί την κίνηση στις συνδέσεις δικτύου
• Βασισμένο σε κεντρικό υπολογιστή — παρακολουθεί τη δραστηριότητα σε μεμονωμένες συσκευές
• Βασισμένο σε υπογραφές — ταιριάζει με γνωστά μοτίβα επίθεσης
• Βασισμένο σε ανωμαλίες — επισημαίνει αποκλίσεις από την κανονική συμπεριφορά

Ένα IDS είναι ένας ανιχνευτής καπνού. Δεν σβήνει τη φωτιά. Σας ενημερώνει ότι υπάρχει.