按 NIST SP 800-94（入侵偵測與防禦系統指引）的定義，入侵偵測是「監察電腦系統或網絡中發生的事件，並分析其中可能違反保安政策或構成即時威脅的跡象」的過程，IDS 就是把此過程自動化的軟件或設備。IDS 一般以旁路方式接入：透過交換機鏡像埠（port mirroring）或網絡分流器複製流量作分析，不在流量必經路徑上，因此不會增加延遲，故障時亦不影響網絡運作。
發現可疑活動時，IDS 會記錄事件並經管理平台、電郵或 SIEM 系統通知管理員。是否以及如何回應，由人或其他系統決定——這是它與 IPS（入侵防禦系統）的根本分別。
| 項目 | NIDS（網絡型） | HIDS（主機型） |
|---|---|---|
| 部署位置 | 網絡節點（鏡像埠／分流器） | 個別伺服器或工作站（代理程式） |
| 監察對象 | 整段網絡的流量 | 該主機的日誌、檔案完整性、程序行為 |
| 覆蓋範圍 | 一套設備覆蓋多台主機 | 每台主機獨立安裝 |
| 加密流量 | 只見加密後的封包，內容有限 | 可見主機上解密後的實際活動 |
| 典型用途 | 網絡邊界、伺服器網段監察 | 重要伺服器、合規要求的主機監控 |
兩者互補而非二選一：NIDS 提供全網視野，HIDS 提供主機深度。對重要系統，一般建議同時部署。
把流量或事件與已知攻擊特徵庫比對，命中即警報。準確率高、誤報少，但無法識別未有特徵的新型攻擊，特徵庫必須持續更新。
先為正常行為建立基線模型（流量模式、使用時段、程序行為等），對明顯偏離基線的活動發出警報。有機會發現未知攻擊，但需要調校期，誤報率一般較高。
實際產品多數混合兩種方法，並輔以協定狀態分析（stateful protocol analysis）——按協定標準的預期行為檢查實際流量是否越軌。
防火牆按規則決定「哪些流量可以通過」，是存取控制的第一道閘；IDS 分析「已通過的流量與系統事件中有沒有攻擊跡象」，是監察與示警層；IPS 則把偵測與攔截合而為一，串聯在流量路徑上即時阻斷攻擊。三者定位不同、互為補足。現代次世代防火牆（NGFW）普遍已整合 IPS 引擎，中小企多數以一台 NGFW 同時覆蓋防火牆與入侵防禦功能，大型環境則會再獨立部署 IDS 與 SIEM 作深度監察。詳細對比見IDS 與 IPS 有何分別一頁。
本文核對資料：NIST SP 800-94；Cisco — What Is an IDS。
不確定如何應用於實際環境？我們的工程師可按現場情況提供建議，免費解答及報價。
WhatsApp 即時查詢若閣下正計劃相關工程或需要選購設備，歡迎瀏覽網絡工程服務了解方案詳情，或透過網上快速報價與我們的工程師聯絡。
產品規格以原廠最新文件為準；有需要請聯絡我們工程師。