Un sistem de detectare a intruziunilor urmărește traficul de rețea sau activitatea gazdei pentru semne de atac. Alertează atunci când ceva pare în neregulă. Nu blochează. Aceasta este diferența față de un sistem de prevenire a intruziunilor, care este conectat și poate întrerupe traficul. Un IDS este pasiv. Observă, analizează și raportează. Analistul decide ce să facă.

Metodele de detectare variază. Sistemele bazate pe semnături se potrivesc cu modelele de atac cunoscute. Acestea surprind ceea ce au văzut înainte și ratează tot restul. Sistemele bazate pe anomalii construiesc o linie de bază a comportamentului normal și a abaterilor de semnalizare. Acestea surprind atacuri noi, dar generează mai multe rezultate fals pozitive. Majoritatea implementărilor folosesc ambele. IDS-ul bazat pe rețea monitorizează traficul în puncte strategice. IDS-ul bazat pe gazdă urmărește procesele, modificările fișierelor și apelurile de sistem pe mașini individuale. Volumul alertelor este problema constantă. Un IDS prost reglat îneacă analiștii în zgomot. Aceștia nu mai acordă atenție. Alertele reale sunt ratate. Reglarea nu este o sarcină unică. Rețelele se schimbă. Apar aplicații noi. Linia de bază se schimbă. Un IDS care a fost bine reglat anul trecut ar putea fi inutil astăzi.

Tipuri de IDS

• Bazat pe rețea — monitorizează traficul la porturile rețelei
• Bazat pe gazdă — monitorizează activitatea pe dispozitive individuale
• Bazat pe semnătură — potrivește modelele de atac cunoscute
• Bazat pe anomalii — semnalează abateri de la comportamentul normal

Un IDS este un detector de fum. Nu stinge incendiul. Îți spune că există unul.