Ein Intrusion Detection System überwacht Netzwerkverkehr oder Systemaktivitäten auf Anzeichen von Angriffen und schlägt Alarm, ohne selbst einzugreifen. Unterschieden wird nach Ort und Methode: Netzwerkbasierte Systeme beobachten den Datenverkehr an zentraler Stelle, hostbasierte laufen auf einzelnen Servern; erkannt wird entweder anhand bekannter Angriffsmuster oder anhand von Abweichungen vom gelernten Normalzustand.
Das Gegenstück ist das Intrusion Prevention System, das erkannten Verkehr selbstständig blockiert, damit aber auch legitime Zugriffe stoppen kann, wenn es falsch liegt. Genau hier liegt die praktische Schwierigkeit beider Gattungen, denn zu empfindliche Einstellungen erzeugen eine Flut von Fehlalarmen, zu lockere übersehen Angriffe.
In modernen Umgebungen ist die Technik meist keine eigene Anschaffung mehr, sondern Bestandteil von Firewalls der neueren Generation oder geht in EDR- und SIEM-Lösungen auf. Eine Grenze bleibt: Verschlüsselter Verkehr lässt sich ohne Aufbrechen der Verbindung nicht inhaltlich prüfen, was den Blick auf Metadaten und Verhaltensmuster verlagert.