什麼是入侵偵測系統（IDS）
監控網路通訊或端點活動，發現疑似攻擊並向管理者發出警示的系統。有與已知攻擊特徵比對的特徵比對型（簽章型），以及找出偏離平常狀態之異常的異常偵測型。設置在通訊路徑中間（串接）、能當場阻斷被判定為攻擊之通訊的系統，稱為入侵防禦系統（IPS）。IPS可能因誤報而連正常通訊也阻斷，因此要謹慎調整阻斷的規則。
日文名稱: 侵入検知システム(IDS)
「入侵偵測系統（IDS）」出現在1領域的3道練習題中（網路攻擊與防禦實務等）。
這個名詞所屬的領域: 網路攻擊與防禦實務
練習入侵偵測系統（IDS）的題目
關於入侵偵測系統（IDS）與入侵防禦系統（IPS）的差異，正確的說明是下列何者？
- AIDS發現不當通訊時會自動阻斷該通訊，IPS只記錄通訊供事後調查，不會阻斷
- BIDS偵測疑似不當的行為並通知管理者，IPS設置在通訊路徑中間，阻斷被判定為不當的通訊
- CIDS與IPS都是把修補軟體弱點的程式，自動派送並套用到公司內各端點的機制
查看答案與解析
正確答案：B. IDS偵測疑似不當的行為並通知管理者，IPS設置在通訊路徑中間，阻斷被判定為不當的通訊
IDS監控在網路上流動的通訊（或端點的動作），發現疑似攻擊時發出警示。它多半以接收通訊複本來檢查的方式設置，即使把正常通訊誤判為攻擊也不會讓業務停擺，但阻斷交由人員或其他機制處理。IPS設置在通訊路徑中間（串接），能當場阻斷被判定為攻擊的通訊。相對地，誤報會連正常的業務通訊也一併阻斷，設備故障或處理延遲也會影響全部通訊，因此要謹慎調整以哪些規則阻斷。
關於IDS的偵測方式，比較特徵比對型（不當偵測型）與異常偵測型，正確的說明是下列何者？
- A特徵比對型以與已知攻擊特徵的一致來偵測，容易漏掉未知攻擊；異常偵測型以偏離平常狀態來偵測，也能察覺未知攻擊，但誤報較多
- B特徵比對型連未登錄的未知攻擊也能確實偵測，異常偵測型則只能偵測事先登錄的已知攻擊
- C異常偵測型不需要學習平常的狀態，因此導入後立刻就能無誤報地使用，也不需要更新特徵碼
查看答案與解析
正確答案：A. 特徵比對型以與已知攻擊特徵的一致來偵測，容易漏掉未知攻擊；異常偵測型以偏離平常狀態來偵測，也能察覺未知攻擊，但誤報較多
特徵比對型事先登錄已知攻擊的通訊特徵（特徵碼），偵測與其一致者。它能準確找出已登錄的攻擊，但容易漏掉新的攻擊，或稍微改變特徵的攻擊，必須持續更新特徵碼。異常偵測型會學習通訊量、時段、連線目標等平常的狀態（基準線），偵測大幅偏離者，因此有可能察覺未知的攻擊。另一方面，它容易把正常但罕見的通訊判定為異常，使誤報增加，因此實務上會把兩者組合使用。
解析中的「入侵偵測系統（IDS）」
IDS監控在網路上流動的通訊（或端點的動作），發現疑似攻擊時發出警示。
關於入侵偵測系統（IDS）與入侵防禦系統（IPS）的差異，正確的說明是下列何者？
出現「入侵偵測系統（IDS）」的題目（3題）
出現這個名詞的比較
相關名詞
入侵指標（IoC） 供應鏈攻擊 軟體物料清單（SBOM） 資安事件管理（SIEM） 資安事件應變 資安監控中心 零信任 滲透測試 端點偵測與回應（EDR） 網頁應用程式防火牆（WAF）