Egy behatolásérzékelő rendszer figyeli a hálózati forgalmat vagy a gazdagép aktivitását támadás jeleire utaló jelek után kutatva. Riasztást küld, ha valami nincs rendben. Nem blokkol. Ez a különbség egy behatolásmegelőző rendszertől, amely a hálózatba van beépítve, és képes a forgalom elállítására. Az IDS passzív. Megfigyel, elemez és jelentést készít. Az elemző dönti el, mit tegyen.

Az észlelési módszerek változatosak. Az aláírás-alapú rendszerek az ismert támadási mintákat követik. Azt észlelik, amit korábban láttak, és minden mást figyelmen kívül hagynak. Az anomália-alapú rendszerek a normál viselkedés alapját építik fel, és jelzik az eltéréseket. Az új támadásokat észlelik, de több téves riasztást generálnak. A legtöbb telepítés mindkettőt használja. A hálózatalapú IDS stratégiai pontokon figyeli a forgalmat. A hosztalapú IDS az egyes gépeken figyeli a folyamatokat, a fájlváltozásokat és a rendszerhívásokat. A riasztások mennyisége az állandó probléma. Egy rosszul hangolt IDS zajba fojtja az elemzőket. Nem figyelnek oda. A valódi riasztások elszalaszthatók. A finomhangolás nem egyszeri feladat. A hálózatok változnak. Új alkalmazások jelennek meg. Az alapvonal eltolódik. Egy tavaly jól hangolt IDS ma már haszontalan lehet.

IDS-típusok

• Hálózatalapú – figyeli a forgalmat a hálózati lecsapolásoknál
• Gazdagép-alapú – figyeli az egyes eszközökön végzett tevékenységet
• Aláírás-alapú – ismert támadási mintákhoz hasonlít
• Anomália alapú – jelzi a normális viselkedéstől való eltéréseket

Az IDS egy füstérzékelő. Nem oltja el a tüzet, hanem jelzi, hogy van.