ระบบตรวจจับการบุกเข้า (Intrusion Detection System - IDS) เป็นแอปพลิเคชันหรืออุปกรณ์ที่ตรวจสอบトラフィคเครือข่ายเข้าและออก ตลอดเวลาวิเคราะห์เหตุการณ์เพื่อการเปลี่ยนแปลงในรูปแบบ และแจ้งเตือนผู้ดูแลระบบเมื่อตรวจพบพฤติกรรมที่ผิดปกติ ผู้ดูแลระบบสามารถทบทวนการแจ้งเตือนและดำเนินการกำจัดภัยคุกคาม
ตัวอย่างเช่น IDS สามารถตรวจสอบข้อมูลที่ถูกส่งโดยトラフィคเครือข่ายเพื่อดูว่ามีแมลแวร์ที่รู้จักหรือเนื้อหาอันตรายอื่นๆ อยู่หรือไม่ หากระบุประเภทภัยคุกคำนี้ได้ จะส่งการแจ้งเตือนไปยังทีมความปลอดภัย เพื่อให้พวกเขาสามารถสืบสวนและแก้ไขได้ เนื่องจากทีมของคุณได้รับการแจ้งเตือน พวกเขาควรดำเนินการอย่างรวดเร็วเพื่อป้องกันการโจมตีจากการเข้าควบคุมระบบ
ในระบบตรวจจับการบุกเข้าแบบเครือข่าย (Network-based Intrusion-detection System - NIDS) เซ็นเซอร์ถูกวางที่จุดคอขวดในเครือข่ายที่จะตรวจสอบ บ่อยครั้งในโซน DMZ หรือขอบเขตเครือข่าย เซ็นเซอร์จับトラフィคเครือข่ายทั้งหมดและวิเคราะห์เนื้อหาของแพ็กเก็ตเฉพาะสำหรับトラフィคที่เป็นอันตราย
ในระบบ ใช้ PIDS และ APIDS เพื่อตรวจสอบการขนส่งและโปรโตคอลトラフィคที่ผิดกฎหมายหรือไม่เหมาะสม หรือโครงสร้างภาษา (เช่น SQL) ในระบบแบบโฮสต์ เซ็นเซอร์โดยทั่วไปประกอบด้วยเอเจนต์ซอฟต์แวร์ ซึ่งตรวจสอบกิจกรรมบางอย่างของโฮสต์ที่ติดตั้งอยู่ ระบบผสมของสองระบบเหล่านี้ก็มีอยู่เช่นกัน
- NIDS: แพลตฟอร์มอิสระที่ระบุการบุกเข้าโดยการกำหนดトラフィคเครือข่ายและตรวจสอบโฮสต์หลายตัว NIDS เข้าถึงトラフィคเครือข่ายโดยการเชื่อมต่อกับฮับ สวิตช์เครือข่ายที่กำหนดค่าสำหรับการกระจกพอร์ต หรือเครือข่าย tap ตัวอย่าง NIDS คือ Snort
- PIDS: ประกอบด้วยระบบหรือเอเจนต์ที่โดยทั่วไปนั่งอยู่ที่ส่วนหน้าของเซิร์ฟเวอร์ ตรวจสอบและวิเคราะห์โปรโตคอลการสื่อสารระหว่างอุปกรณ์ที่เชื่อมต่อ (ผู้ใช้/PC หรือระบบ) สำหรับเว็บเซิร์ฟเวอร์ อาจตรวจสอบสตรีมโปรโตคอล HTTPS และเข้าใจโปรโตคอล HTTP ที่สอดคล้องกับเว็บเซิร์ฟเวอร์ที่พยายามป้องกัน หากใช้ HTTPS ระบบนี้จะต้องอยู่ใน "shim" หรืออินเทอร์เฟซระหว่างที่ HTTPS ถูกถอดรหัสและก่อนเข้าสู่ชั้นการนำเสนอเว็บโดยตรง
- APIDS: ประกอบด้วยระบบหรือเอเจนต์ที่โดยทั่วไปนั่งอยู่ภายในชุดของเซิร์ฟเวอร์ ตรวจสอบและวิเคราะห์การสื่อสารบนโปรโตคอลเฉพาะแอปพลิเคชัน ในเว็บเซิร์ฟเวอร์ที่มีฐานข้อมูล อาจตรวจสอบโปรโตคอล SQL ที่เฉพาะเจาะจงกับมิดเดิลแวร์/บิซิเนสลอจิก ขณะที่มันดำเนินการกับฐานข้อมูล
- HIDS: ประกอบด้วยเอเจนต์บนโฮสต์ซึ่งระบุการบุกเข้าโดยการวิเคราะห์การเรียกระบบ บันทึกซอฟต์แวร์ การแก้ไขระบบไฟล์ (ไบนารี ไฟล์รหัสผ่าน ฐานข้อมูลความสามารถ) และกิจกรรมและสถานะของโฮสต์อื่นๆ ตัวอย่าง HIDS คือ OSSEC
- Hybrid IDS: รวมหลายแนวทาง ข้อมูลเอเจนต์โฮสต์รวมกับข้อมูลเครือข่ายเพื่อสร้างมุมมองที่ครอบคลุมของเครือข่าย ตัวอย่าง Hybrid IDS คือ Prelude
