一方、HIDS（Host-based IDS）は、監視対象のサーバーやパソコンに直接専用のソフトウェア（エージェント）をインストールして動作します。ホスト内のシステムログやイベントログ、OSの重要ファイルの改ざん、レジストリの変更などを監視するため、暗号化された通信が解読された後のローカルな動作や、特定のホストを狙ったローカルな攻撃を詳細に検知することができます。

検知の手法には、既知の攻撃パターンを定義したデータベース（シグネチャ）と照合する「シグネチャ検知（パターンマッチング方式）」と、正常時のトラフィックモデルを学習しておき、そこから大きく逸脱した通信パターンを検出する「アノマリ検知（異常検知方式）」があります。

試験では、IDSが「検知と管理者の通知」に特化したシステムであり、攻撃トラフィックを「自ら遮断・防御する機能はない」という基本仕様が問われます。