大家还记得「网络安全」安全设备篇（1）——防火墙吗？做一个形象的比喻：假如防火墙是一幢大楼的门锁，那么IDS就是这幢大楼里的监视系统。一旦小偷爬窗进入大楼，或内部人员有越界行为，只有实时监视系统才能发现情况并发出警告。
在本质上，入侵检测系统是一个典型的"窥探设备"。它不跨接多个物理网段（通常只有一个监听端口），无须转发任何流量，而只需要在网络上被动的、无声息的收集它所关心的报文即可。对收集来的报文，入侵检测系统提取相应的流量统计特征值，并利用内置的入侵知识库，与这些流量特征进行智能分析比较匹配。根据预设的阀值，匹配耦合度较高的报文流量将被认为是进攻，入侵检测系统将根据相应的配置进行报警或进行有限度的反击。
IDS模型
按入侵检测的手段，IDS的入侵检测模型可分为基于网络和基于主机两种。
1
基于主机模型
也称基于系统的模型，它是通过分析系统的审计数据来发现可疑的活动，如内存和文件的变化等。其输入数据主要来源于系统的审计日志，一般只能检测该主机上发生的入侵。这种模型有以下优点：
①性能价格比高：在主机数量较少的情况下，这种方法的性能价格比更高；
②更加细致：可以很容易地监测一些活动，如敏感文件、目录、程序或端口的存取，而这些活动很难基于协议的线索发现；
③视野集中：一旦入侵者得到了一个主机用户名和口令，基于主机的代理是最有可能区分正常活动和非法活动的；
④易于用户剪裁：每一个主机有自己的代理，当然用户剪裁更加方便；
⑤较少的主机：基于主机的方法有时不需要增加专门的硬件平台；
⑥对网络流量不敏感：用代理的方式一般不会因为网络流量的增加而丢掉对网络行为的监视。
