System wykrywania włamań monitoruje ruch sieciowy lub aktywność hosta pod kątem oznak ataku. Alarmuje, gdy coś wygląda nieprawidłowo. Nie blokuje. To właśnie różni go od systemu zapobiegania włamaniom, który działa w trybie inline i może blokować ruch. System IDS jest pasywny. Obserwuje, analizuje i raportuje. Analityk decyduje, co zrobić.

Metody wykrywania są różne. Systemy oparte na sygnaturach dopasowują się do znanych wzorców ataków. Wychwytują to, co już widziały, i pomijają wszystko inne. Systemy oparte na anomaliach tworzą bazę danych normalnego zachowania i sygnalizują odchylenia. Wykrywają nowe ataki, ale generują więcej fałszywych alarmów. Większość wdrożeń korzysta z obu tych metod. Sieciowy system IDS monitoruje ruch w strategicznych punktach. Hostowy system IDS monitoruje procesy, zmiany plików i wywołania systemowe na poszczególnych maszynach. Liczba alertów jest stałym problemem. Źle dostrojony system IDS zagłusza analityków w hałasie. Przestają zwracać na nie uwagę. Prawdziwe alerty są pomijane. Dostrajanie nie jest zadaniem jednorazowym. Sieci się zmieniają. Pojawiają się nowe aplikacje. Baza danych ulega zmianie. System IDS, który był dobrze dostrojony w zeszłym roku, może być dziś bezużyteczny.

Typy IDS

• Oparte na sieci — monitoruje ruch w punktach dostępowych sieci
• Oparty na hoście — monitoruje aktywność na poszczególnych urządzeniach
• Oparte na sygnaturach — dopasowuje znane wzorce ataków
• Oparte na anomaliach — sygnalizuje odchylenia od normalnego zachowania

IDS to czujnik dymu. Nie gasi pożaru. Informuje o jego obecności.