Sistem deteksi intrusi memantau lalu lintas jaringan atau aktivitas host untuk mencari tanda-tanda serangan. Sistem ini memberi peringatan ketika ada sesuatu yang tampak salah. Sistem ini tidak memblokir. Itulah perbedaannya dengan sistem pencegahan intrusi, yang berada di jalur jaringan dan dapat memblokir lalu lintas. IDS bersifat pasif. Sistem ini mengamati, menganalisis, dan melaporkan. Analis yang memutuskan tindakan selanjutnya.

Metode deteksi bervariasi. Sistem berbasis tanda tangan mencocokkan pola serangan yang dikenal. Mereka menangkap apa yang telah mereka lihat sebelumnya dan melewatkan yang lainnya. Sistem berbasis anomali membangun dasar perilaku normal dan menandai penyimpangan. Mereka menangkap serangan baru tetapi menghasilkan lebih banyak positif palsu. Sebagian besar implementasi menggunakan keduanya. IDS berbasis jaringan memantau lalu lintas di titik-titik strategis. IDS berbasis host mengawasi proses, perubahan file, dan panggilan sistem pada masing-masing mesin. Volume peringatan adalah masalah yang konstan. IDS yang disetel dengan buruk membanjiri analis dengan kebisingan. Mereka berhenti memperhatikan. Peringatan nyata terlewatkan. Penyetelan bukanlah tugas sekali saja. Jaringan berubah. Aplikasi baru muncul. Garis dasar bergeser. IDS yang disetel dengan baik tahun lalu mungkin tidak berguna hari ini.

Jenis IDS

• Berbasis jaringan — memantau lalu lintas di titik akses jaringan.
• Berbasis host — memantau aktivitas pada masing-masing perangkat
• Berbasis tanda tangan — cocok dengan pola serangan yang dikenal.
• Berbasis anomali — menandai penyimpangan dari perilaku normal

IDS adalah detektor asap. Alat ini tidak memadamkan api. Alat ini memberi tahu Anda bahwa ada api.