Bir saldırı tespit sistemi, ağ trafiğini veya sunucu etkinliğini saldırı belirtileri açısından izler. Bir şeyler ters gittiğinde uyarı verir. Engelleme yapmaz. Bu, hat üzerinde yer alan ve trafiği engelleyebilen bir saldırı önleme sisteminden farklıdır. Bir IDS pasiftir. Gözlemler, analiz eder ve rapor eder. Analist ne yapılacağına karar verir.

Tespit yöntemleri çeşitlilik gösterir. İmza tabanlı sistemler bilinen saldırı kalıplarıyla eşleşir. Daha önce gördüklerini yakalarlar ve diğer her şeyi kaçırırlar. Anomali tabanlı sistemler normal davranışın temelini oluşturur ve sapmaları işaretler. Yeni saldırıları yakalarlar ancak daha fazla yanlış pozitif üretirler. Çoğu kurulum her ikisini de kullanır. Ağ tabanlı IDS, stratejik noktalarda trafiği izler. Ana bilgisayar tabanlı IDS, bireysel makinelerdeki işlemleri, dosya değişikliklerini ve sistem çağrılarını izler. Uyarıların hacmi sürekli bir sorundur. Kötü ayarlanmış bir IDS, analistleri gürültüye boğar. Dikkat etmeyi bırakırlar. Gerçek uyarılar kaçırılır. Ayarlama tek seferlik bir iş değildir. Ağlar değişir. Yeni uygulamalar ortaya çıkar. Temel değişir. Geçen yıl iyi ayarlanmış bir IDS bugün işe yaramaz olabilir.

IDS türleri

• Ağ tabanlı — ağdaki trafik noktalarını izler.
• Ana bilgisayar tabanlı — bireysel cihazlardaki etkinlikleri izler.
• İmza tabanlı — bilinen saldırı kalıplarıyla eşleşir
• Anormallik tabanlı — normal davranıştan sapmaları işaretler.

IDS, duman dedektörüdür. Yangını söndürmez, sadece bir yangın olduğunu bildirir.