Hệ thống phát hiện xâm nhập (IDS) giám sát lưu lượng mạng hoặc hoạt động của máy chủ để tìm dấu hiệu của một cuộc tấn công. Nó sẽ cảnh báo khi có điều gì đó bất thường. Nó không chặn. Đó là điểm khác biệt so với hệ thống ngăn chặn xâm nhập (IPS), vốn hoạt động ngầm và có thể chặn lưu lượng truy cập. IDS hoạt động thụ động. Nó quan sát, phân tích và báo cáo. Nhà phân tích sẽ quyết định phải làm gì.

Các phương pháp phát hiện rất đa dạng. Hệ thống dựa trên chữ ký khớp với các mẫu tấn công đã biết. Chúng phát hiện những gì đã thấy trước đây và bỏ sót mọi thứ khác. Hệ thống dựa trên sự bất thường xây dựng một đường cơ sở về hành vi bình thường và gắn cờ các sai lệch. Chúng phát hiện các cuộc tấn công mới nhưng tạo ra nhiều cảnh báo sai hơn. Hầu hết các triển khai đều sử dụng cả hai. Hệ thống IDS dựa trên mạng giám sát lưu lượng truy cập tại các điểm chiến lược. Hệ thống IDS dựa trên máy chủ theo dõi các tiến trình, thay đổi tệp và các lệnh gọi hệ thống trên từng máy riêng lẻ. Khối lượng cảnh báo là vấn đề thường xuyên. Một hệ thống IDS được tinh chỉnh kém sẽ làm các nhà phân tích bị ngập trong nhiễu. Họ ngừng chú ý. Các cảnh báo thực sự bị bỏ sót. Việc tinh chỉnh không phải là một nhiệm vụ chỉ thực hiện một lần. Mạng lưới thay đổi. Các ứng dụng mới xuất hiện. Đường cơ sở dịch chuyển. Một hệ thống IDS được tinh chỉnh tốt năm ngoái có thể trở nên vô dụng ngày hôm nay.

Các loại IDS

• Dựa trên mạng — giám sát lưu lượng truy cập tại các điểm kết nối mạng.
• Dựa trên máy chủ — giám sát hoạt động trên từng thiết bị riêng lẻ.
• Dựa trên chữ ký — phù hợp với các kiểu tấn công đã biết
• Dựa trên sự bất thường — gắn cờ các sai lệch so với hành vi bình thường

IDS là thiết bị báo khói. Nó không dập tắt đám cháy. Nó chỉ báo cho bạn biết có đám cháy.