Zaznamenává nebo hlásí podezřelou aktivitu, aby ji lidé nebo automatizované workflow mohli vyšetřit. IDS může provoz pozorovat přímo, přijímat zrcadlená data nebo analyzovat události generované na chráněném systému.
Detekce může aktivitu porovnávat se známými signaturami, pravidly protokolů, očekávaným chováním či statistickými a kontextovými baselinami. Síťový IDS potřebuje viditelnost do relevantní cesty; hostitelský IDS může pozorovat lokální procesy, soubory, logy nebo systémová volání. Užitečné výstrahy uchovávají dostatek časového, zdrojového, pravidlového a událostního kontextu pro triage a korelaci.
Klíčové body
Návrh pokrytíDefinujte, která aktiva, cesty, protokoly, události a fáze útoku může každý senzor pozorovat — včetně cloudového, vzdáleného, šifrovaného a interního provozu.
Operace detekceUdržujte detekční obsah, stanovte baseline očekávaného chování, laděte hlučná pravidla, chraňte senzory a manažerské kanály a testujte, zda reprezentativní aktivita produkuje použitelné důkazy.
Zpracování výstrahPřiřaďte závažnost a vlastnictví, korelujte s důkazy identity, koncového zařízení, aplikace a hrozeb a zdokumentujte, kdy má výstraha spustit zadržení nebo eskalaci.
Důležité omezeníIDS hlásí důkazy, nikoli jistotu. Falešné pozitivy i negativy se mohou vyskytnout; evaze, šifrování, zahozené pakety, chybějící logy a slepá místa mohou důkazy snížit nebo zkreslit. Tichý IDS nedokazuje, že k narušení nedošlo.