入侵檢測系統(tǒng)(Intrusion Detect System)，目前基本上分為以下兩種：主機入侵檢測系統(tǒng)(HIDS);網絡入侵檢測系統(tǒng)(NIDS)。主機入侵檢測系統(tǒng)分析對象為主機審計日志，所以需 要在主機上安裝軟件，針對不同的系統(tǒng)、不同的版本需安裝不同的主機引擎，安裝配置較為復雜，同時對系統(tǒng)的運行和穩(wěn)定性造成影響，目前在國內應用較少。網絡入侵監(jiān)測分析對象為網絡數(shù)據(jù)流，只需安裝在網絡的監(jiān)聽端口上，對網絡的運行無任何影響，目前國內使用較為廣泛。
一、IDS存在的問題
1、誤/漏報率高
IDS常用的檢測方法有特征檢測、異常檢測、狀態(tài)檢測、協(xié)議分析等。而這些檢測方式都存在缺陷。比如異常檢測通常采用統(tǒng)計方法來進行檢測，而統(tǒng)計方法中的閾值難以有效確定，太小的值會產生大量的誤報，太大的值又會產生大量的漏報。而在協(xié)議分析的檢測方式中，一般的IDS只簡單地處理了常用的如HTTP、FTP、SMTP等，其余大量的協(xié)議報文完全可能造成IDS漏報，如果考慮支持盡量多的協(xié)議類型分析，網絡的成本將無法承受。
2、沒有主動防御能力
IDS技術采用了一種預設置式、特征分析式工作原理，所以檢測規(guī)則的更新總是落后于攻擊手段的更新。
3、缺乏準確定位和處理機制
IDS僅能識別IP地址，無法定位IP地址，不能識別數(shù)據(jù)來源。IDS系統(tǒng)在發(fā)現(xiàn)攻擊事件的時候，只能關閉網絡出口和服務器等少數(shù)端口，但這樣關閉同時會影響其他正常用戶的使用。因而其缺乏更有效的響應處理機制。
4、性能普遍不足
現(xiàn)在市場上的IDS產品大多采用的是特征檢測技術，這種IDS產品已不能適應交換技術和高帶寬環(huán)境的發(fā)展，在大流量沖擊、多IP分片情況下都可能造成IDS的癱瘓或丟包，形成DoS攻擊。
二、入侵檢測技術的發(fā)展趨勢
(1).分析技術的改進
入侵檢測誤報和漏報的解決最終依靠分析技術的改進。目前入侵檢測分析方法主要有：統(tǒng)計分析、模式匹配、數(shù)據(jù)重組、協(xié)議分析、行為分析等。
統(tǒng)計分析是統(tǒng)計網絡中相關事件發(fā)生的次數(shù)，達到判別攻擊的目的。模式匹配利用對攻擊的特征字符進行匹配完成對攻擊的檢測。數(shù)據(jù)重組是對網絡連接的數(shù)據(jù)流進行重組再加以分析，而不僅僅分析單個數(shù)據(jù)包。
協(xié)議分析技術是在對網絡數(shù)據(jù)流進行重組的基礎上，理解應用協(xié)議，再利用模式匹配和統(tǒng)計分析的技術來判明攻擊。例如：某個基于HTTP協(xié)議的攻擊含有ABC特征，如果此數(shù)據(jù)分散在若干個數(shù)據(jù)包中，如：一個數(shù)據(jù)包含A，另外一個包含B，另外一個包含C，則單純的模式匹配就無法檢測，只有基于數(shù)據(jù)流重組才能完整檢測。而利用協(xié)議分析。則只在符合的協(xié)議(HTTP)檢測到此事件才會報警。假設此特征出現(xiàn)在Mail里，因為不符合協(xié)議，就不會報警。利用此技術，有效的降低了誤報和漏報。
行為分析技術不僅簡單分析單次攻擊事件，還根據(jù)前后發(fā)生的事件確認是否確有攻擊發(fā)生，攻擊行為是否生效，是入侵檢測分析技術的境界。但目前由于算法處理和規(guī)則制定的難度很大，目前還不是非常成熟，但卻是入侵檢測技術發(fā)展的趨勢。目前綜合使用多種檢測技術，而不只是依靠傳統(tǒng)的統(tǒng)計分析和模式匹配技術。另外，規(guī)則庫是否及時更新也和檢測的準確程度相關
一、IDS存在的問題
1、誤/漏報率高
IDS常用的檢測方法有特征檢測、異常檢測、狀態(tài)檢測、協(xié)議分析等。而這些檢測方式都存在缺陷。比如異常檢測通常采用統(tǒng)計方法來進行檢測，而統(tǒng)計方法中的閾值難以有效確定，太小的值會產生大量的誤報，太大的值又會產生大量的漏報。而在協(xié)議分析的檢測方式中，一般的IDS只簡單地處理了常用的如HTTP、FTP、SMTP等，其余大量的協(xié)議報文完全可能造成IDS漏報，如果考慮支持盡量多的協(xié)議類型分析，網絡的成本將無法承受。
2、沒有主動防御能力
IDS技術采用了一種預設置式、特征分析式工作原理，所以檢測規(guī)則的更新總是落后于攻擊手段的更新。
3、缺乏準確定位和處理機制
IDS僅能識別IP地址，無法定位IP地址，不能識別數(shù)據(jù)來源。IDS系統(tǒng)在發(fā)現(xiàn)攻擊事件的時候，只能關閉網絡出口和服務器等少數(shù)端口，但這樣關閉同時會影響其他正常用戶的使用。因而其缺乏更有效的響應處理機制。
4、性能普遍不足
現(xiàn)在市場上的IDS產品大多采用的是特征檢測技術，這種IDS產品已不能適應交換技術和高帶寬環(huán)境的發(fā)展，在大流量沖擊、多IP分片情況下都可能造成IDS的癱瘓或丟包，形成DoS攻擊。
二、入侵檢測技術的發(fā)展趨勢
(1).分析技術的改進
入侵檢測誤報和漏報的解決最終依靠分析技術的改進。目前入侵檢測分析方法主要有：統(tǒng)計分析、模式匹配、數(shù)據(jù)重組、協(xié)議分析、行為分析等。
統(tǒng)計分析是統(tǒng)計網絡中相關事件發(fā)生的次數(shù)，達到判別攻擊的目的。模式匹配利用對攻擊的特征字符進行匹配完成對攻擊的檢測。數(shù)據(jù)重組是對網絡連接的數(shù)據(jù)流進行重組再加以分析，而不僅僅分析單個數(shù)據(jù)包。
協(xié)議分析技術是在對網絡數(shù)據(jù)流進行重組的基礎上，理解應用協(xié)議，再利用模式匹配和統(tǒng)計分析的技術來判明攻擊。例如：某個基于HTTP協(xié)議的攻擊含有ABC特征，如果此數(shù)據(jù)分散在若干個數(shù)據(jù)包中，如：一個數(shù)據(jù)包含A，另外一個包含B，另外一個包含C，則單純的模式匹配就無法檢測，只有基于數(shù)據(jù)流重組才能完整檢測。而利用協(xié)議分析。則只在符合的協(xié)議(HTTP)檢測到此事件才會報警。假設此特征出現(xiàn)在Mail里，因為不符合協(xié)議，就不會報警。利用此技術，有效的降低了誤報和漏報。
行為分析技術不僅簡單分析單次攻擊事件，還根據(jù)前后發(fā)生的事件確認是否確有攻擊發(fā)生，攻擊行為是否生效，是入侵檢測分析技術的境界。但目前由于算法處理和規(guī)則制定的難度很大，目前還不是非常成熟，但卻是入侵檢測技術發(fā)展的趨勢。目前綜合使用多種檢測技術，而不只是依靠傳統(tǒng)的統(tǒng)計分析和模式匹配技術。另外，規(guī)則庫是否及時更新也和檢測的準確程度相關