Rejestruje lub zgłasza podejrzaną aktywność, aby ludzie lub zautomatyzowane przepływy pracy mogli zbadać sprawę. IDS może obserwować ruch bezpośrednio, otrzymywać dane dublowane (mirrored) lub analizować zdarzenia generowane na chronionym systemie.
Wykrywanie może porównywać aktywność ze znanymi sygnaturami, regułami protokołów, oczekiwanym zachowaniem lub statystycznymi i kontekstowymi liniami bazowymi. Sieciowy IDS potrzebuje widoczności odpowiedniej ścieżki; hostowy IDS może obserwować lokalne procesy, pliki, logi lub wywołania systemowe. Użyteczne alerty zachowują wystarczająco czasu, źródła, reguły i kontekstu zdarzenia do triage i korelacji.
Najważniejsze punkty
Projekt pokryciaDefiniuj, które zasoby, ścieżki, protokoły, zdarzenia i etapy ataku może obserwować każdy sensor, w tym ruch chmurowy, zdalny, szyfrowany i wewnętrzny.
Operacje detekcjiUtrzymuj treść detekcji, ustalaj linie bazowe oczekiwanego zachowania, stroj reguły generujące nadmierne alerty, chroń sensory i kanały zarządzania oraz testuj, czy reprezentatywna aktywność produkuje użyteczne dowody.
Obsługa alertówPrzypisuj wagę i właścicielstwo, koreluj z dowodami tożsamości, punktów końcowych, aplikacji i zagrożeń oraz dokumentuj, kiedy alert powinien wyzwolić ograniczenie skutków lub eskalację.
Istotne ograniczenieIDS zgłasza dowody, a nie pewność. Mogą wystąpić fałszywe trafienia i fałszywe chybienia; uniki, szyfrowanie, utracone pakiety, brakujące logi i martwe pola mogą zmniejszać lub zniekształcać dowody. Cichy IDS nie dowodzi, że włamanie nie nastąpiło.