Un Intrusion Detection System (IDS) monitora il traffico di rete, l'attività degli host o i log alla ricerca di segnali di comportamento sospetto. Di solito non blocca il traffico da solo; invece, genera avvisi o registra prove in modo che i difensori possano indagare. Gli strumenti IDS possono cercare pattern di attacco noti, un uso anomalo dei protocolli, violazioni delle policy o comportamenti diversi dall'attività normale.
L'IDS è importante perché molti attacchi sono visibili per la prima volta come piccoli segnali: scansioni, abuso di credenziali, movimento laterale o traffico di comando e controllo. Nelle operazioni reali, un IDS aiuta i team di sicurezza a rilevare queste fasi in anticipo, preservare i dettagli forensi e confermare se un avviso merita un'escalation. È utile anche per la conformità e per il threat hunting. La sfida principale è la regolazione: troppi falsi positivi possono nascondere minacce reali, mentre regole di rilevamento deboli possono non individuarle. Per questo motivo, l'IDS è più efficace quando è affiancato da una buona registrazione dei log, procedure di risposta e analisti in grado di interpretare gli avvisi.