IDS是入侵检测系统（Intrusion Detection System）的缩写。
入侵检测系统是一种安全设备或软件，用于监控和识别计算机网络中的恶意活动、攻击行为和安全事件。它通过实时监测网络流量、日志和系统活动，以及使用特定的检测方法和规则，来发现和报告潜在的入侵行为或异常活动。
IDS主要有两种类型：
- 网络入侵检测系统（Network-based Intrusion Detection System，NIDS）：NIDS位于网络中，通过监测网络流量和数据包来检测入侵行为。它可以分析网络通信协议、检测异常流量、识别已知的攻击特征等，以发现潜在的入侵。
- 主机入侵检测系统（Host-based Intrusion Detection System，HIDS）：HIDS位于主机系统上，通过监测主机的日志、文件系统、系统调用等来检测入侵行为。它可以识别异常的系统活动、检测可疑文件或配置更改、监视系统资源的使用等，以检测主机级别的入侵。
IDS通常部署在网络中，对网络流量进行监测和分析，可以覆盖多个应用程序和系统，如下所示：
IDS使用多种技术和方法来检测入侵，包括但不限于以下几种：
-
签名检测：基于已知攻击的特征和模式，使用特定的规则和签名来识别已知的攻击。比如先要定义违背安全策略的事件的特征，如网络数据包的某些头信息。检测主要判别这类特征是否在所收集到的数据中出现。此方法非常类似杀毒软件。
-
异常检测：基于正常行为的模型或统计分析，检测与正常活动相比具有异常行为的活动或流量。 比如先定义一组系统“正常”情况的数值，如CPU利用率、内存利用率、文件校验和等（这类数据可以人为定义，也可以通过观察系统、并用统计的办法得出），然后将系统运行时的数值与所定义的“正常”情况比较，得出是否有被攻击的迹象。这种检测方式的核心在于如何定义所谓的“正常”情况。
对于已知的攻击，它可以详细、准确的报告出攻击类型，但是对未知攻击却效果有限，而且知识库必须不断更新。基于异常的检测技术则无法准确判别出攻击的手法，但它可以（至少在理论上可以）判别更广泛、甚至未发觉的攻击。
- 行为分析：通过分析系统和用户的行为模式，识别潜在的恶意活动或异常行为。
一旦IDS检测到潜在的入侵或异常活动，它会生成警报、日志或触发相应的响应措施，如发送警报通知、阻断网络流量、记录事件等，以便进行进一步的调查和响应。
总之，入侵检测系统（IDS）是一种用于监测和检测计算机网络中的入侵行为和安全事件的安全控制工具。它可以帮助组织及时发现潜在的入侵，采取相应的措施来保护网络和系统的安全。
