Acesta înregistrează sau raportează activitatea suspectă, astfel încât oamenii sau fluxurile de lucru automate să poată investiga. Un IDS poate observa traficul direct, poate primi date oglindite sau poate analiza evenimente generate pe un sistem protejat.
Detectarea poate compara activitatea cu semnături cunoscute, reguli de protocol, comportament așteptat sau linii de bază statistice și contextuale. Un IDS de rețea are nevoie de vizibilitate pe calea relevantă; un IDS de gazdă poate observa procese locale, fișiere, jurnale sau apeluri de sistem. Alertele utile păstrează suficient context de timp, sursă, regulă și eveniment pentru triere și corelare.
Puncte esențiale
Proiectarea acopeririiDefiniți ce active, căi, protocoale, evenimente și etape de atac poate observa fiecare senzor, inclusiv traficul cloud, remote, criptat și intern.
Operațiuni de detectareMențineți conținutul de detectare, stabiliți linia de bază a comportamentului așteptat, reglați regulile zgomotoase, protejați senzorii și canalele de management și testați dacă activitatea reprezentativă produce dovezi utilizabile.
Tratarea alertelorAtribuiți severitate și proprietate, corelați cu dovezi de identitate, endpoint, aplicație și amenințare și documentați când o alertă trebuie să declanșeze izolarea sau escaladarea.
Limitare importantăUn IDS raportează dovezi, nu certitudine. Pot apărea false pozitive și false negative; evaziunea, criptarea, pachetele pierdute, jurnalele lipsă și unghiurile moarte pot reduce sau denatura dovezile. Un IDS silențios nu dovedește că nu a avut loc nicio intruziune.