IDS, IPS, dan metode deteksi

Sistem deteksi intrusi (IDS) memantau kejadian di jaringan atau host dan menganalisisnya untuk mencari tanda insiden. NIST SP 800-94 membedakan IPS dari IDS dengan satu ciri: IPS bisa menanggapi ancaman yang terdeteksi dengan mencoba menghentikannya, misalnya memutus koneksi, memblokir alamat penyerang, mengubah aturan firewall, atau membuang bagian berbahaya dari muatan.

Sensor inline berada di jalur lalu lintas, seperti firewall, sehingga bisa menahan paket; itulah alasan utama memasangnya inline. Sensor pasif hanya menerima salinan lalu lintas dari spanning port switch atau network tap. Ia bisa memantau banyak host sekaligus, tetapi tidak berada di jalur paket, dan spanning port bisa tidak melihat semua lalu lintas saat switch sibuk.

Ada tiga metode deteksi. Berbasis tanda tangan membandingkan kejadian dengan pola ancaman yang dikenal; efektif untuk ancaman lama, tetapi meleset pada ancaman baru dan varian. Berbasis anomali membandingkan kejadian dengan profil perilaku normal yang dibangun selama masa latih; bisa menangkap ancaman baru, tetapi sering menghasilkan positif palsu, misalnya transfer bulanan yang tidak terlihat saat masa latih. Analisis protokol berstatus membandingkan kejadian dengan perilaku protokol yang disepakati, misalnya perintah FTP yang hanya sah setelah login.