入侵檢測系統(tǒng)（簡稱“IDS”）是一種對網(wǎng)絡(luò)傳輸進(jìn)行即時監(jiān)視，在發(fā)現(xiàn)可疑傳輸時發(fā)出警報或者采取主動反應(yīng)措施的網(wǎng)絡(luò)安全設(shè)備。它與其他網(wǎng)絡(luò)安全設(shè)備的不同之處便在于，IDS是一種積極主動的安全防護(hù)技術(shù)。 IDS最早出現(xiàn)在1980年4月。 1980年代中期，IDS逐漸發(fā)展成為入侵檢測專家系統(tǒng)（IDES）。 1990年，IDS分化為基于網(wǎng)絡(luò)的IDS和基于主機(jī)的IDS。后又出現(xiàn)分布式IDS。目前，IDS發(fā)展迅速，已有人宣稱IDS可以完全取代防火墻。
定義
我們做一個形象的比喻：假如防火墻是一幢大樓的門衛(wèi)，那么IDS就是這幢大樓里的監(jiān)視系統(tǒng)。一旦小偷爬窗進(jìn)入大樓，或內(nèi)部人員有越界行為，只有實時監(jiān)視系統(tǒng)才能發(fā)現(xiàn)情況并發(fā)出警告。
（1）盡可能靠近攻擊源
（ 2）盡可能靠近受保護(hù)資源
這些位置通常是：
·服務(wù)器區(qū)域的交換機(jī)上
·Internet接入
路由器之后的第一臺交換機(jī)上
·重點保護(hù)網(wǎng)段的局域網(wǎng)交換機(jī)上
由于入侵檢測系統(tǒng)的市場在近幾年中飛速發(fā)展，許多公司投入到這一領(lǐng)域上來。Venustech(啟明星辰）、Internet Security System（ISS）、思科、賽門鐵克等公司都推出了自己的產(chǎn)品。
系統(tǒng)組成
IETF將一個入侵檢測系統(tǒng)分為四個組件：事件產(chǎn)生器（Event generators）；事件分析器（Event analyzers）；響應(yīng)單元（Response units ）；事件數(shù)據(jù)庫（Event databases ）。
事件產(chǎn)生器的目的是從整個計算環(huán)境中獲得事件，并向系統(tǒng)的其他部分提供此事件。事件分析器分析得到的數(shù)據(jù)，并產(chǎn)生分析結(jié)果。響應(yīng)單元則是對分析結(jié)果作出作出反應(yīng)的功能單元，它可以作出切斷連接、改變文件屬性等強烈反應(yīng)，也可以只是簡單的報警。事件數(shù)據(jù)庫是存放各種中間和最終數(shù)據(jù)的地方的統(tǒng)稱，它可以是復(fù)雜的數(shù)據(jù)庫，也可以是簡單的文本文件。
系統(tǒng)分類
根據(jù)檢測對象的不同，入侵檢測系統(tǒng)可分為主機(jī)型和網(wǎng)絡(luò)型。
系統(tǒng)通信協(xié)議
系統(tǒng)通信協(xié)議
IDS系統(tǒng)內(nèi)部各組件之間需要通信，不同廠商的IDS系統(tǒng)之間也需要通信。因此，有必要定義統(tǒng)一的協(xié)議。目前，IETF目前有一個專門的小組Intrusion Detection Working Group （IDWG）負(fù)責(zé)定義這種通信格式，稱作Intrusion Detection Exchange Format（IDEF），但還沒有統(tǒng)一的標(biāo)準(zhǔn)。
以下是設(shè)計通信協(xié)議時應(yīng)考慮的問題：
1.系統(tǒng)與控制系統(tǒng)之間傳輸?shù)男畔⑹欠浅Ｖ匾男畔?，因此必須要保持?jǐn)?shù)據(jù)的真實性和完整性。必須有一定的機(jī)制進(jìn)行通信雙方的身份驗證和保密傳輸（同時防止主動和被動攻擊）。
2.通信的雙方均有可能因異常情況而導(dǎo)致通信中斷，IDS系統(tǒng)必須有額外措施保證系統(tǒng)正常工作。
入侵檢測技術(shù)
入侵檢測技術(shù)對各種事件進(jìn)行分析，從中發(fā)現(xiàn)違反安全策略的行為是入侵檢測系統(tǒng)的核心功能。從技術(shù)上，入侵檢測分為兩類：一種基于標(biāo)志（signature-based），另一種基于異常情況（anomaly-based）。
對于基于標(biāo)識的檢測技術(shù)來說，首先要定義違背安全策略的事件的特征，如網(wǎng)絡(luò)數(shù)據(jù)包的某些頭信息。檢測主要判別這類特征是否在所收集到的數(shù)據(jù)中出現(xiàn)。此方法非常類似殺毒軟件。
而基于異常的檢測技術(shù)則是先定義一組系統(tǒng)“正常”情況的數(shù)值，如CPU利用率、內(nèi)存利用率、文件校驗和等（這類數(shù)據(jù)可以人為定義，也可以通過觀察系統(tǒng)、并用統(tǒng)計的辦法得出），然后將系統(tǒng)運行時的數(shù)值與所定義的“正常”情況比較，得出是否有被攻擊的跡象。這種檢測方式的核心在于如何定義所謂的“正常”情況。
兩種檢測技術(shù)的方法、所得出的結(jié)論有非常大的差異?；跇?biāo)志的檢測技術(shù)的核心是維護(hù)一個知識庫。對于已知的攻擊，它可以詳細(xì)、準(zhǔn)確的報告出攻擊類型，但是對未知攻擊卻效果有限，而且知識庫必須不斷更新?；诋惓５臋z測技術(shù)則無法準(zhǔn)確判別出攻擊的手法，但它可以（至少在理論上可以）判別更廣范、甚至未發(fā)覺的攻擊。
IDS缺點
1998年2月，Secure Networks Inc.指出IDS有許多弱點，主要為：IDS對數(shù)據(jù)的檢測；對IDS自身攻擊的防護(hù)。由于當(dāng)代網(wǎng)絡(luò)發(fā)展迅速，網(wǎng)絡(luò)傳輸速率大大加快，這造成了IDS工作的很大負(fù)擔(dān)，也意味著IDS對攻擊活動檢測的可靠性不高。而IDS在應(yīng)對對自身的攻擊時，對其他傳輸?shù)臋z測也會被抑制。同時由于模式識別技術(shù)的不完善，IDS的高虛警率也是它的一大問題。
