入侵检测系统（Intrusion Detection System，简称IDS）是一种用于监控网络或系统活动，以检测异常行为或潜在安全威胁的技术或设备。其核心功能是通过实时分析网络流量、系统日志、文件变化等数据，识别出违反安全策略的行为，并生成报警信息，帮助管理员及时响应安全事件。

一、基本功能

实时监控与异常检测

IDS持续监控网络流量、系统日志等数据，通过预设规则或机器学习算法识别异常行为，如异常登录、数据泄露尝试等。

报警与响应支持

一旦检测到可疑活动，IDS会立即生成报警信息，通知管理员采取进一步措施，如阻断网络连接、备份数据等。

历史数据分析

通过分析历史数据，IDS可以识别出新型攻击模式，提升检测能力。

二、工作原理

数据采集

收集网络数据包、系统日志、文件变更等信息作为分析源。

特征匹配与行为分析

将采集的数据与预设的规则（如签名匹配）或行为模型进行对比，判断是否存在异常。

报警与联动

通过邮件、短信或系统通知发送报警信息，并可联动防火墙、安全信息事件管理（SIEM）系统等设备。

三、主要类型

网络入侵检测系统（NIDS）

部署在网络边界（如路由器、交换机）监控所有传输数据包，适用于跨系统攻击检测。

主机入侵检测系统（HIDS）

安装在目标主机上，监测文件系统、系统调用等行为，适用于检测主机内部威胁。

混合式IDS

结合NIDS和HIDS的优势，实现网络与主机的全面监控。

四、应用场景

网络边界防护：

作为防火墙后的第二道防线，检测跨网络攻击。

敏感数据保护：监控数据库、文件系统的异常访问，防止数据泄露。

合规与审计：记录异常行为，支持安全审计与合规性检查。

五、发展现状

IDS技术经历了从基于签名的专家系统（IDES）到基于行为的智能检测系统的演变，现与入侵防御系统（IPS）结合形成更完善的网络安全防护体系。