Ett intrångsdetekteringssystem övervakar nätverkstrafik eller värdaktivitet efter tecken på en attack. Det varnar när något ser fel ut. Det blockerar inte. Det är skillnaden från ett intrångsskyddssystem, som sitter inbyggt och kan släppa trafik. Ett IDS är passivt. Det observerar, analyserar och rapporterar. Analytikern bestämmer vad som ska göras.

Detekteringsmetoderna varierar. Signaturbaserade system matchar kända attackmönster. De fångar upp det de sett tidigare och missar allt annat. Anomalibaserade system bygger en baslinje av normalt beteende och flaggar avvikelser. De upptäcker nya attacker men genererar fler falska positiva resultat. De flesta implementeringar använder båda. Nätverksbaserade IDS övervakar trafik på strategiska punkter. Värdbaserade IDS övervakar processer, filändringar och systemanrop på enskilda maskiner. Volymen av varningar är det ständiga problemet. En dåligt inställd IDS dränker analytiker i brus. De slutar vara uppmärksamma. Riktiga varningar missas. Justering är inte en engångsuppgift. Nätverk förändras. Nya applikationer dyker upp. Baslinjen förändras. En IDS som var väl inställd förra året kan vara värdelös idag.

IDS-typer

• Nätverksbaserat — övervakar trafik vid nätverksavtappningar
• Värdbaserad — övervakar aktivitet på enskilda enheter
• Signaturbaserad — matchar kända attackmönster
• Anomalibaserad — flaggar avvikelser från normalt beteende

En IDS är en rökdetektor. Den släcker inte elden. Den talar om för dig att det finns en.