Um sistema de deteção de intrusão monitoriza o tráfego de rede ou a atividade do host em busca de sinais de ataque. Alerta quando algo parece errado. Ele não bloqueia. Esta é a diferença em relação a um sistema de prevenção de intrusão, que está em linha com a rede e pode descartar tráfego. Um IDS é passivo. Observa, analisa e gera relatórios. O analista decide o que fazer.

Os métodos de deteção variam. Os sistemas baseados em assinaturas identificam padrões de ataque conhecidos. Detetam o que já viram antes e ignoram tudo o resto. Os sistemas baseados em anomalias criam uma linha de base de comportamento normal e sinalizam desvios. Detetam ataques novos, mas geram mais falsos positivos. A maioria das implementações utiliza ambos. Um IDS baseado na rede monitoriza o tráfego em pontos estratégicos. Um IDS baseado no host monitoriza processos, alterações de ficheiros e chamadas de sistema em máquinas individuais. O volume de alertas é o problema constante. Um IDS mal configurado sobrecarrega os analistas com ruído. Deixam de prestar atenção. Os alertas reais são perdidos. A configuração não é uma tarefa pontual. As redes mudam. Novos aplicativos surgem. A linha de base altera-se. Um IDS que estava bem configurado no ano passado pode ser inútil hoje.

tipos IDS

• Baseado na rede — monitoriza o tráfego nos pontos de ligação da rede.
• Baseado no host — monitoriza a atividade em dispositivos individuais.
• Baseado em assinaturas — corresponde a padrões de ataque conhecidos
• Baseado em anomalias — sinaliza desvios do comportamento normal.

Um IDS é um detetor de fumo. Ele não apaga o fogo. Apenas avisa que há um incêndio.