Un sistema de detección de intrusiones (IDS) supervisa el tráfico de red o la actividad de los hosts en busca de indicios de un ataque. Emite alertas cuando algo parece sospechoso. No bloquea el tráfico. Esta es la diferencia con un sistema de prevención de intrusiones (IPS), que se sitúa en línea y puede descartar el tráfico. Un IDS es pasivo. Observa, analiza e informa. El analista decide qué medidas tomar.

Los métodos de detección varían. Los sistemas basados ​​en firmas coinciden con patrones de ataque conocidos. Detectan lo que ya han visto y pasan por alto todo lo demás. Los sistemas basados ​​en anomalías crean una base de referencia del comportamiento normal y señalan las desviaciones. Detectan ataques nuevos, pero generan más falsos positivos. La mayoría de las implementaciones utilizan ambos. Los sistemas de detección de intrusiones (IDS) basados ​​en la red supervisan el tráfico en puntos estratégicos. Los IDS basados ​​en el host supervisan los procesos, los cambios de archivos y las llamadas al sistema en máquinas individuales. El volumen de alertas es un problema constante. Un IDS mal configurado abruma a los analistas con ruido. Dejan de prestar atención. Se pierden alertas reales. La configuración no es una tarea que se realiza una sola vez. Las redes cambian. Aparecen nuevas aplicaciones. La base de referencia cambia. Un IDS que estaba bien configurado el año pasado puede ser inútil hoy.

Tipos de IDS

• Basado en la red: monitoriza el tráfico en los puntos de acceso de la red.
• Basado en el host: supervisa la actividad en dispositivos individuales.
• Basado en firmas: coincide con patrones de ataque conocidos
• Basado en anomalías: señala desviaciones del comportamiento normal.

Un IDS es un detector de humo. No apaga el fuego. Simplemente te avisa de que hay uno.