Een inbraakdetectiesysteem (IDS) monitort netwerkverkeer of hostactiviteit op tekenen van een aanval. Het waarschuwt wanneer er iets mis lijkt te zijn. Het blokkeert niet. Dat is het verschil met een inbraakpreventiesysteem (IPS), dat inline is en verkeer kan blokkeren. Een IDS is passief. Het observeert, analyseert en rapporteert. De analist beslist wat er moet gebeuren.

Detectiemethoden variëren. Op signaturen gebaseerde systemen herkennen bekende aanvalspatronen. Ze detecteren wat ze eerder hebben gezien en missen al het andere. Op anomalieën gebaseerde systemen bouwen een basislijn op van normaal gedrag en signaleren afwijkingen. Ze detecteren nieuwe aanvallen, maar genereren meer valse positieven. De meeste implementaties gebruiken beide. Netwerkgebaseerde IDS monitort verkeer op strategische punten. Hostgebaseerde IDS bewaakt processen, bestandswijzigingen en systeemoproepen op individuele machines. Het grote aantal waarschuwingen is een constant probleem. Een slecht afgestelde IDS overspoelt analisten met ruis. Ze verliezen hun aandacht. Echte waarschuwingen worden gemist. Afstemmen is geen eenmalige taak. Netwerken veranderen. Nieuwe applicaties verschijnen. De basislijn verschuift. Een IDS dat vorig jaar goed was afgesteld, kan vandaag nutteloos zijn.

IDS-typen

• Netwerkgebaseerd — bewaakt het verkeer bij netwerktappunten.
• Hostgebaseerd — bewaakt de activiteit op individuele apparaten.
• Op basis van signaturen — komt overeen met bekende aanvalspatronen
• Op basis van afwijkingen — signaleert afwijkingen van normaal gedrag

Een IDS is een rookmelder. Hij blust de brand niet. Hij waarschuwt je dat er brand is.