IDS
ネットワークやサーバへの不正な侵入や攻撃の兆候を検知し、管理者に通知するシステム。通信そのものは遮断せず、監視と警告を行う。
イマシルちゃんの解説
IDSは、お店の防犯カメラと警報装置みたいなものなんだ。
怪しい動きを見つけたら、「大変です！」って管理者に知らせてくれる。
でも、自分で泥棒を捕まえることはしないんだよ。
通信の「コピー」を見ているだけだから、IDSが止まっても、お店の営業（通信）には影響しないのがいいところなんだ！
より深い解説
定義
IDS（Intrusion Detection System：侵入検知システム）は、ネットワークを流れる通信や、サーバの上の動作（ログ、ファイルの変更など）を監視し、攻撃や不正アクセスの兆候を検知して、管理者に警告するシステムである。
監視する対象による分類
| 種類 | 監視する対象 | 設置場所 |
|---|---|---|
| ネットワーク型（NIDS） | ネットワークを流れるパケット | ネットワーク上（スイッチのミラーポートなど） |
| ホスト型（HIDS） | サーバのログ、ファイルの改ざん、プロセスの動きなど | 監視対象のサーバの上 |
ネットワーク型IDSの設置
ネットワーク型IDSは、通常、スイッチのミラーポート（ポートミラーリングで、監視したいポートの通信のコピーが出力されるポート）に接続する。IDSのネットワークインタフェースは、自分宛てではないパケットもすべて受け取るプロミスキャスモードで動作する。
インターネット ── ファイアウォール ── スイッチ ── 社内のサーバ
│（ミラーポート）
IDS通信経路の外にあるため、IDSが故障したり、処理が遅れたりしても、通信には影響しない。その代わり、検知した通信を直接止めることはできない。
検知の方式
検知の誤り
| 誤り | 内容 | 影響 |
|---|---|---|
| フォールスポジティブ（過検知） | 正常な通信を、攻撃と判断してしまう | 不要な警告が増え、本当の警告を見落としやすくなる |
| フォールスネガティブ（見逃し） | 攻撃を、正常な通信と判断してしまう | 攻撃に気づけない |
両者は一方を減らすと他方が増えやすい関係にあり、シグネチャやしきい値の調整（チューニング）が欠かせない。
IPSとの関係
IDSの「検知」の機能に、通信経路上での「遮断」の機能を加えたものがIPSである。最近の製品では、同じ機器を、ミラーポートに接続してIDSとして使うことも、経路上に置いてIPSとして使うこともできるものが多い。