घुसपैठ का पता लगाने वाली प्रणाली (IDS) नेटवर्क ट्रैफ़िक या होस्ट गतिविधि पर नज़र रखती है ताकि हमले के संकेतों का पता लगाया जा सके। कुछ गड़बड़ होने पर यह अलर्ट जारी करती है। यह ट्रैफ़िक को ब्लॉक नहीं करती। यही घुसपैठ रोकथाम प्रणाली (IDS) से इसका अंतर है, जो नेटवर्क में मौजूद रहती है और ट्रैफ़िक को रोक सकती है। IDS निष्क्रिय होती है। यह अवलोकन करती है, विश्लेषण करती है और रिपोर्ट देती है। आगे क्या करना है, यह विश्लेषक तय करता है।

पता लगाने के तरीके अलग-अलग होते हैं। सिग्नेचर-आधारित सिस्टम ज्ञात हमले के पैटर्न का मिलान करते हैं। वे पहले से देखे गए हमलों को पकड़ लेते हैं और बाकी सब कुछ छोड़ देते हैं। विसंगति-आधारित सिस्टम सामान्य व्यवहार का एक आधार बनाते हैं और विचलन को चिह्नित करते हैं। वे नए हमलों को पकड़ लेते हैं लेकिन अधिक गलत सकारात्मक परिणाम उत्पन्न करते हैं। अधिकांश तैनाती में दोनों का उपयोग किया जाता है। नेटवर्क-आधारित IDS रणनीतिक बिंदुओं पर ट्रैफ़िक की निगरानी करता है। होस्ट-आधारित IDS व्यक्तिगत मशीनों पर प्रक्रियाओं, फ़ाइल परिवर्तनों और सिस्टम कॉल की निगरानी करता है। अलर्ट की मात्रा एक निरंतर समस्या है। एक खराब तरीके से ट्यून किया गया IDS विश्लेषकों को शोर में डुबो देता है। वे ध्यान देना बंद कर देते हैं। वास्तविक अलर्ट छूट जाते हैं। ट्यूनिंग एक बार का काम नहीं है। नेटवर्क बदलते हैं। नए एप्लिकेशन आते हैं। आधार बदल जाता है। एक IDS जो पिछले साल अच्छी तरह से ट्यून किया गया था, आज बेकार हो सकता है।

आईडीएस प्रकार

• नेटवर्क-आधारित — नेटवर्क टैप पर ट्रैफ़िक की निगरानी करता है
• होस्ट-आधारित — व्यक्तिगत उपकरणों पर गतिविधि की निगरानी करता है
• हस्ताक्षर-आधारित — ज्ञात आक्रमण पैटर्न से मेल खाता है
• विसंगति-आधारित — सामान्य व्यवहार से विचलन को चिह्नित करता है

आईडीएस एक धुआं डिटेक्टर है। यह आग बुझाता नहीं है, बल्कि आपको बताता है कि आग लगी है।