침입 탐지 시스템(IDS)은 네트워크 트래픽이나 호스트 활동을 감시하여 공격 징후를 감지합니다. 이상 징후가 감지되면 경고를 보냅니다. IDS는 트래픽을 차단하지는 않습니다. 이는 네트워크에 직접 설치되어 트래픽을 차단할 수 있는 침입 방지 시스템(IPS)과의 차이점입니다. IDS는 수동적인 시스템으로, 트래픽을 관찰, 분석하고 보고합니다. 분석가는 필요한 조치를 결정합니다.

탐지 방법은 다양합니다. 시그니처 기반 시스템은 알려진 공격 패턴과 비교하여 탐지합니다. 이전에 본 적이 있는 공격은 탐지하지만, 그 외의 공격은 탐지하지 못합니다. 이상 징후 기반 시스템은 정상적인 동작의 기준선을 구축하고 그 기준선에서 벗어나는 부분을 표시합니다. 새로운 공격은 탐지하지만, 오탐이 더 많이 발생합니다. 대부분의 구축 환경에서는 두 가지 방식을 모두 사용합니다. 네트워크 기반 IDS는 전략적 지점에서 트래픽을 모니터링합니다. 호스트 기반 IDS는 개별 머신의 프로세스, 파일 변경 사항 및 시스템 호출을 감시합니다. 문제는 경고량입니다. 제대로 튜닝되지 않은 IDS는 분석가들을 수많은 경고에 압도하여 주의를 기울이지 않게 만듭니다. 결국 실제 경고를 놓치게 됩니다. 튜닝은 한 번으로 끝나는 작업이 아닙니다. 네트워크는 끊임없이 변화하고, 새로운 애플리케이션이 등장하며, 기준선도 바뀝니다. 작년에 잘 튜닝된 IDS도 오늘날에는 무용지물이 될 수 있습니다.

IDS 유형

• 네트워크 기반 — 네트워크 탭에서 트래픽을 모니터링합니다.
• 호스트 기반 — 개별 기기의 활동을 모니터링합니다.
• 시그니처 기반 — 알려진 공격 패턴과 일치
• 이상 징후 기반 — 정상적인 동작에서 벗어난 부분을 표시합니다.

IDS는 연기 감지기입니다. 불을 끄는 장치가 아니라 불이 났음을 알려주는 장치입니다.