Et inntrengingsdeteksjonssystem overvåker nettverkstrafikk eller vertsaktivitet for tegn på et angrep. Det varsler når noe ser galt ut. Det blokkerer ikke. Det er forskjellen fra et inntrengingsforebyggingssystem, som er innebygd og kan slippe trafikk. Et IDS er passivt. Det observerer, analyserer og rapporterer. Analytikeren bestemmer hva som skal gjøres.

Deteksjonsmetodene varierer. Signaturbaserte systemer matcher kjente angrepsmønstre. De fanger opp det de har sett før og overser alt annet. Anomalibaserte systemer bygger en grunnlinje av normal oppførsel og flagger avvik. De fanger opp nye angrep, men genererer flere falske positiver. De fleste distribusjoner bruker begge deler. Nettverksbaserte IDS overvåker trafikk på strategiske punkter. Vertsbaserte IDS overvåker prosesser, filendringer og systemkall på individuelle maskiner. Volumet av varsler er det konstante problemet. Et dårlig innstilt IDS drukner analytikere i støy. De slutter å følge med. Ekte varsler blir oversett. Justering er ikke en engangsoppgave. Nettverk endrer seg. Nye applikasjoner dukker opp. Grunnlinjen endrer seg. Et IDS som var godt innstilt i fjor, kan være ubrukelig i dag.

IDS-typer

• Nettverksbasert – overvåker trafikk ved nettverkskraner
• Vertsbasert – overvåker aktivitet på individuelle enheter
• Signaturbasert – samsvarer med kjente angrepsmønstre
• Anomalibasert – markerer avvik fra normal oppførsel

En IDS er en røykdetektor. Den slukker ikke brannen. Den forteller deg at det finnes en.