入侵偵測系統 (IDS) 會監控網路流量或主機活動，以發現攻擊跡象。一旦發現異常情況，它會發出警報。它不會進行攔截。這與入侵防禦系統 (IPS) 的區別在於，IPS 部署在網路內部，可能會丟棄流量。 IDS 是被動的，它負責觀察、分析和報告，最終由分析人員決定採取何種措施。

檢測方法多種多樣。基於特徵碼的系統符合已知的攻擊模式，只能捕捉先前遇到的攻擊，而無法辨識其他攻擊。基於異常的系統則建立正常行為基準並標記異常情況，能夠捕捉新型攻擊，但誤報率較高。大多數部署方案會同時採用這兩種方法。基於網路的入侵偵測系統 (IDS) 監控關鍵節點的流量，而基於主機的 IDS 則監控單一機器上的進程、檔案變更和系統呼叫。警報數量始終是一個難題。配置不佳的 IDS 會讓分析人員被大量噪音淹沒，導致他們注意力分散，錯過真正的警報。配置並非一勞永逸，網路會不斷變化，新的應用程式不斷湧現，基線也會隨之改變。去年配置良好的 IDS 如今可能已經失​​效。

IDS類型

• 網路為基礎的監控－監控網路分流點的流量
• 基於主機－監控單一裝置上的活動
• 基於特徵碼的攻擊－符合已知的攻擊模式
• 基於異常的檢測－標記與正常行為的偏差

IDS是煙霧偵測器，它本身並不能滅火，只能提醒您有火。