Hệ thống phát hiện xâm nhập (IDS) là phần mềm được phát triển đặc biệt để giám sát lưu lượng mạng và tìm ra sự bất thường. Một IDS được thiết kế để phát hiện lưu lượng mạng và khớp mẫu lưu lượng với các tấn công đã biết. Qua phương pháp này, đôi khi được gọi là tương quan mẫu, một hệ thống ngăn chặn xâm nhập có thể xác định xem sự kiện bất thường có phải là tấn công mạng hay không.
Khi hoạt động đáng ngờ hoặc độc hại được tìm thấy, một hệ thống phát hiện xâm nhập sẽ gửi cảnh báo đến kỹ thuật viên hoặc quản trị viên CNTT được chỉ định. Cảnh báo IDS cho phép chúng ta nhanh chóng bắt đầu khắc phục sự cố và xác định nguyên nhân gốc rễ của vấn đề, hoặc khám phá và dừng các tác nhân có hại trên đường của chúng.
Công nghệ Hệ thống Phát hiện Xâm nhập (IDS) là yếu tố thiết yếu trong thiết kế môi trường an toàn. Nó là phương pháp hệ thống quản lý an ninh cho máy tính và mạng. Một IDS thu thập và phân tích thông tin từ nhiều khu vực trong máy tính hoặc mạng để nhận diện các vi phạm an ninh có thể, bao gồm cả xâm nhập và sử dụng sai.
Là phần mềm và phần cứng được thiết kế để xác định các nỗ lực không mong muốn truy cập, thao túng và vô hiệu hóa hệ thống máy tính, thường xuyên qua mạng, bao gồm Internet. Những nỗ lực này có thể lấy hình thức tấn công như bởi kẻ phá vỡ, phần mềm độc hại và nhân viên không hài lòng.
Một hệ thống phát hiện xâm nhập được sử dụng để xác định nhiều loại hành vi độc hại có thể làm thỏa hiệp an ninh và niềm tin của hệ thống máy tính. Điều này bao gồm tấn công mạng đối với dịch vụ dễ bị tổn thương, tấn công dữ liệu trên ứng dụng, tấn công dựa trên máy chủ bao gồm leo thang đặc quyền, đăng nhập trái phép và truy cập thông tin nhạy cảm, và phần mềm độc hại (virut, mã Troy và giun).
Một IDS có thể bao gồm nhiều thành phần như cảm biến tạo ra sự kiện an ninh, Bảng điều khiển để giám sát sự kiện và cảnh báo và kiểm soát cảm biến, và Engine trung tâm dữ liệu sự kiện được ghi lại bởi cảm biến trong cơ sở dữ liệu và cần một hệ thống quy tắc để tạo cảnh báo từ các sự kiện an ninh nhận được.
Có nhiều phương pháp phân loại IDS tùy thuộc vào loại và vị trí của cảm biến và các phương pháp được sử dụng bởi engine để tạo cảnh báo. Mặc dù có nhiều loại IDS, các loại chung hoạt động giống nhau. Chúng phân tích lưu lượng mạng và tệp nhật ký cho các mẫu cụ thể.
Quản trị viên có thể xem nếu nó kiểm tra nhật ký truy cập của tường lửa, nhưng đó có thể là tuần hoặc thậm chí tháng sau cuộc tấn công. Đây là nơi IDS xuất hiện. Các nỗ lực đi qua tường lửa được ghi lại, và IDS sẽ đánh giá nhật ký của nó. Tại một số điểm trong nhật ký sẽ có nhiều mục yêu cầu-từ chối.
Một IDS sẽ gắn cờ các sự kiện và cảnh báo quản lý. Quản trị viên có thể thấy những gì đang xảy ra ngay sau hoặc thậm chí trong khi các cuộc tấn công đang diễn ra. Điều này cung cấp cho quản trị viên lợi thế có thể phân tích các phương pháp được sử dụng, nguồn gốc tấn công và các cách tiếp cận được hacker sử dụng.