一、簡介
入侵檢測是防火墻的合理補充，幫助系統對付網絡攻擊，擴展了系統管理員的安全管理能力(包括安全審計、監視、進攻識別和響應)，提高了信息安全基礎結構的完整性。
它從計算機網絡系統中的若干關鍵點收集信息，并分析這些信息，看看網絡中是否有違反安全策略的行為和遭到襲擊的跡象。
入侵檢測被認為是防火墻之后的第二道安全閘門，在不影響網絡性能的情況下能對網絡進行監測，從而提供對內部攻擊、外部攻擊和誤操作的實時保護。
二、按功能分類
1)、基于主機的檢測：
對于這一類的檢測通常是通過主機系統的日志和管理員的設置來檢測。在系統的日志里記錄了進入系統的ID、時間以及行為等。
這些可通過打印機打印出來，以便進一步分析。
管理員的設置包括用戶權限、工作組、所使用的權限等。如果這些與管理員的設置有不同之處，說明系統有可能被入侵。
2)、基于網絡檢測：
網絡入侵者通常利用網絡的漏洞進入系統，如TCP/IP協議的三次握手，就給入侵者提供入侵系統的途徑。任何一個網絡適配器都具有收聽其它數據包的功能。
它首先檢查每個數據包目的地址，只要符合本機地址的包就向上一層傳輸，這樣，通過對適配器適當的配置，就可以捕獲同一個子網上的所有數據包。
所以，通常將入侵檢測系統放置在網關或防火墻后，用來捕獲所有進出的數據包，實現對所有的數據包進行監視。
3)、基于內核的檢測：
基于內核的檢測是從操作系統的內核收集數據，作為檢測入侵或異常行為的依據。這種檢測策略的特點是具有良好的檢測效率和數據源的可信度。
對于這種檢測，要求操作系統具有開放性和原碼公開性?；谶@種檢測的主要是針對開發與原碼的Linux系統。
三、按方法分類
1)、基于行為的檢測：
基于行為的檢測是根據使用者的行為或資源使用狀況的正常程度來判斷是否入侵，而不依賴于具體行為是否出現來檢測，所以又稱為異常檢測。它首先總結正常操作應該具有的特征(用戶輪廓)，當用戶活動與正常行為有重大偏離時即被認為是入侵。因為不需要對每種入侵行為進行定義，所以能有效檢測未知的入侵，漏報率低，誤報率高。
2)、基于知識的檢測：
基于知識的檢測是指運用已知的方法，根據定義好的入侵模式，通過判斷這些入侵模式是否出現來檢測。
因為有很大一部分的入侵是利用系統的脆弱性，所以通過分析入侵的特征、條件、排列以及相關事件就能描述入侵行為的跡象。
這種方法是依據具體的特征庫進行判斷，所以檢測準確度很高，誤報率低、漏報率高。
對于已知的攻擊，它可以詳細、準確地報告出攻擊類型，但是對未知攻擊卻效果有限，而且特征庫必須不斷更新。
