侵入検知システム（IDS）は、ネットワークトラフィックやホストのアクティビティを監視し、攻撃の兆候を検出します。異常が見られると警告を発しますが、通信を遮断することはありません。これは、ネットワークの途中に設置され、トラフィックを遮断することもある侵入防御システム（IPS）との違いです。IDSは受動的なシステムであり、監視、分析、報告を行うだけで、その後の対応はアナリストが決定します。

検出方法は様々です。シグネチャベースのシステムは、既知の攻撃パターンに一致します。過去に見たことのある攻撃は検出しますが、それ以外の攻撃は見逃します。異常ベースのシステムは、正常な動作のベースラインを構築し、逸脱をフラグ付けします。新しい攻撃を検出しますが、誤検知が多くなります。ほとんどの導入では、両方を使用します。ネットワークベースのIDSは、戦略的なポイントでトラフィックを監視します。ホストベースのIDSは、個々のマシン上のプロセス、ファイルの変更、およびシステムコールを監視します。アラートの量が常に問題となります。調整が不十分なIDSは、アナリストをノイズで溺れさせます。アナリストは注意を払わなくなり、実際のアラートを見逃します。調整は一度きりの作業ではありません。ネットワークは変化します。新しいアプリケーションが登場します。ベースラインが変わります。昨年適切に調整されたIDSは、今日では役に立たないかもしれません。

IDSの種類

• ネットワークベース — ネットワークタップでトラフィックを監視します
• ホストベース — 個々のデバイス上のアクティビティを監視します
• シグネチャベース — 既知の攻撃パターンに一致する
• 異常検知型 — 通常の動作からの逸脱を検知する

IDSは煙感知器です。火を消すものではありません。火事が発生したことを知らせるものです。