침입 탐지 시스템

앞에서 방화벽을 성문에 비유한 경우를 생각하면, 성문에서 철저히 감시한다고 해도 성 안에서 나쁜 짓을 하는 사람도 있을 것이고, 성벽을 넘어 들어가는 사람, 알려지지 않은 비밀통로를 통해서 들어가는 사람도 있을 것이다. 이러한 사람들이 범죄를 함부로 저지르지 못하도록, 또는 범죄를 저지르는 중이라도 빠른 시간에 효과적으로 대처하기 위해서 경찰과 같은 내부 감시자를 운용하게 마련이다. 네트워크에서 IDS는 경찰과 비슷한 역할을 한다.

IDS는 크게 네 가지 요소와 기능으로 구분된다.
1. 자료의 수집(Raw Data Collection)
2. 자료의 필터링과 축약(Data Reduction and Filtering)
3. 침입 탐지(Analysis and Intrusion Detection)
4. 책임 추적성과 대응(Reporting and Response)

1. 자료 수집
IDS는 설치 위치와 목적에 따라 크게  호스트 기반의 IDS(Host-Based IDS, 이후 HIDS)와 네트워크 기반의 IDS(Network-Based IDS, 이후 NIDS)로 나누어진다.

2. 자료의 필터링과 축약
수집된 침입 관련 자료는 한 곳으로 모아서 관리하는 것이 좋다. 상호 연관하여 분석함으로써 좀더 효과적인 분석이 가능하며, 빠르게 대응할 수 있기 때문이다. 또한 보안이 강화된 시스템에 자료를 보관함으로써 침입으로 인한 자료의 손실을 막을 수 있다.

3. 침입 탐지
오용 탐지(Misuse Detection)
오용 탐지 기법은 다른 말로 Signature Base나 Knowledge Base로 불린다. 가장 기본적인 오용 탐지 시스템의 개념은 이미 발견되고 정립된 공격 패턴을 미리 입력해두고, 거기에 해당하는 패턴을 탐지하게 되었을 때 이를 알려주는 것이다.
이상 탐지(Anomaly Detection)
다른 말로 Behavior나 Statistical Detection이라고 하며, 정상적이고 평균적인 상태를 기준으로 하여, 이에 상대적으로 급격한 변화를 일으키거나 확률이 낮은 일이 발생할 경우 침입 탐지를 알리는 것이 기본 개념이다.

4. 책임 추적성과 대응
IDS는 기본적으로 침입을 알려주는 시스템으로, 침입에 대한 능동적인 기능은 별로 없다. 이러한 IDS에 능동적인 기능을 많이 탑재한 IDS를 IPS(Intrusion Prevention System)라고도 한다.