Система обнаружения вторжений (IDS) отслеживает сетевой трафик или активность хостов на предмет признаков атаки. Она оповещает, когда что-то кажется подозрительным. Она не блокирует. В этом отличие от системы предотвращения вторжений (IDS), которая работает в фоновом режиме и может отбрасывать трафик. IDS пассивна. Она наблюдает, анализирует и сообщает о происходящем. Аналитик принимает решение о дальнейших действиях.

Методы обнаружения различаются. Системы, основанные на сигнатурах, сопоставляют известные шаблоны атак. Они обнаруживают то, что видели раньше, и пропускают все остальное. Системы, основанные на аномалиях, создают базовый уровень нормального поведения и отмечают отклонения. Они обнаруживают новые атаки, но генерируют больше ложных срабатываний. В большинстве развертываний используются оба типа систем. Сетевые IDS отслеживают трафик в стратегически важных точках. Хостовые IDS отслеживают процессы, изменения файлов и системные вызовы на отдельных машинах. Постоянной проблемой является большой объем оповещений. Плохо настроенная IDS погружает аналитиков в шум. Они перестают обращать внимание. Реальные оповещения пропускаются. Настройка — это не разовая задача. Сети меняются. Появляются новые приложения. Базовый уровень смещается. IDS, хорошо настроенная в прошлом году, может быть бесполезна сегодня.

типы IDS

• На основе сети — отслеживает трафик на сетевых ответвителях.
• На основе хоста — отслеживает активность на отдельных устройствах.
• На основе сигнатур — соответствует известным схемам атак
• На основе анализа аномалий — выявляет отклонения от нормального поведения.

Детектор дыма (IDS) — это датчик дыма. Он не тушит пожар. Он сообщает о его наличии.