Hệ thống phát hiện xâm nhập (IDS) là ứng dụng hoặc thiết bị giám sát lưu lượng mạng vào và ra, liên tục phân tích sự kiện để tìm thay đổi mẫu, và cảnh báo quản trị viên khi nó xác định hành vi bất thường. Quản trị viên có thể xem xét cảnh báo và thực hiện hành động để xóa bỏ mối đe dọa.
Ví dụ, một IDS có thể kiểm tra dữ liệu do lưu lượng mạng mang theo để xem nó có bao gồm phần mềm độc hại đã biết hoặc nội dung độc hại khác không. Nếu nó xác định loại mối đe dọa này, nó gửi cảnh báo cho nhóm an ninh để họ có thể điều tra và khắc phục. Vì nhóm của bạn nhận được cảnh báo, họ nên hành động nhanh chóng để ngăn chặn tấn công chiếm đoạt hệ thống.
Trong Hệ thống Phát hiện Xâm nhập dựa trên Mạng (NIDS), cảm biến được đặt tại các điểm nghẽn trong mạng được giám sát, thường trong Khu phi quân sự (DMZ) hoặc tại biên giới mạng. Cảm biến bắt tất cả lưu lượng mạng và phân tích nội dung của các gói tin độc quyền cho lưu lượng độc hại.
Trong hệ thống, PIDS và APIDS được sử dụng để giám sát giao thức vận chuyển và ngôn ngữ trái phép hoặc không phù hợp hoặc cấu trúc ngôn ngữ (ví dụ SQL). Trong hệ thống dựa trên máy chủ, cảm biến thường bao gồm một tác nhân phần mềm, giám sát một số hoạt động của máy chủ nơi nó được cài đặt. Các hệ thống lai của hai hệ thống này cũng xảy ra.
Hệ thống phát hiện xâm nhập mạng là nền tảng độc lập xác định xâm nhập bằng cách xác định lưu lượng mạng và giám sát nhiều máy chủ. Hệ thống Phát hiện Xâm nhập Mạng có quyền truy cập lưu lượng mạng bằng cách liên kết đến hub, bộ chuyển mạch mạng được cấu hình cho gương cổng, hoặc network tap. Ví dụ của NIDS là Snort.
Hệ thống Phát hiện Xâm nhập dựa trên Giao thức (PIDS) bao gồm một hệ thống hoặc tác nhân thường ngồi ở đầu cuối của máy chủ, giám sát và phân tích giao thức truyền thông giữa thiết bị kết nối (người dùng/PC hoặc hệ thống).
Đối với máy chủ web, điều này thường giám sát luồng giao thức HTTPS và hiểu giao thức HTTP tương ứng với máy chủ web nó đang cố gắng bảo vệ. Nơi HTTPS đang được sử dụng thì hệ thống này sẽ cần nằm trong "shim" hoặc giao diện nơi HTTPS được giải mã và ngay trước khi nó đi vào lớp trình bày Web.
Hệ thống Phát hiện Xâm nhập dựa trên Giao thức Ứng dụng (APIDS) bao gồm một hệ thống hoặc tác nhân thường ngồi trong một tập hợp máy chủ, giám sát và phân tích truyền thông trên giao thức dành riêng cho ứng dụng. Trong máy chủ web với cơ sở dữ liệu, điều này có thể giám sát giao thức SQL cụ thể cho middleware/business logic khi nó thực hiện với cơ sở dữ liệu.
Hệ thống Phát hiện Xâm nhập dựa trên Máy chủ (HIDS) bao gồm một tác nhân trên máy chủ xác định xâm nhập bằng cách phân tích lời gọi hệ thống, nhật ký phần mềm, sửa đổi hệ thống tệp (nhị phân, tệp mật khẩu, cơ sở dữ liệu khả năng) và nhiều hoạt động và trạng thái máy chủ khác. Ví dụ của HIDS là OSSEC.
Hệ thống phát hiện xâm nhập lai kết hợp nhiều phương pháp. Dữ liệu tác nhân máy chủ được kết hợp với dữ liệu mạng để tạo ra cái nhìn toàn diện của mạng. Ví dụ của IDS lai là Prelude.