IDS (Intrusion Detection System) to system wykrywania włamań. Monitoruje ruch sieciowy albo zdarzenia na serwerze, porównuje je z wzorcami znanych ataków lub z normalnym zachowaniem i generuje alerty, gdy wykryje coś podejrzanego. Sam nie blokuje ruchu, tylko informuje.
Rodzaje IDS
Sieciowy IDS (NIDS) analizuje pakiety w sieci, a hostowy (HIDS) kontroluje pojedynczy serwer, np. zmiany plików systemowych i logi. Detekcja oparta na sygnaturach rozpoznaje znane ataki, a oparta na anomaliach wykrywa odchylenia od typowego zachowania, kosztem większej liczby fałszywych alarmów.
Przykłady narzędzi
Znane rozwiązania open source to Snort, Suricata i Zeek dla sieci oraz OSSEC i Wazuh dla serwerów. Alerty często trafiają do systemu SIEM, gdzie są zestawiane z innymi zdarzeniami.
IDS w praktyce webowej
Dla pojedynczej strony pełny IDS bywa przesadą, ale warto monitorować logi i integralność plików. Przy większych środowiskach IDS uzupełnia zaporę i WAF, wykrywając to, co przeszło przez pierwszą linię obrony.
To jedna z warstw zabezpieczeń stosowanych razem z limitami prób logowania w ramach ochrony przed atakami brute force.
Zobacz w praktyce
Ochrona przed atakami brute force – jak zabezpieczam logowanie na stronie i serwerze 
Analiza logów serwera strony internetowej - poradnik 
Konfiguracja CDN – cache, czyszczenie i reguły