IDS（侵入検知システム）とは
IDS（Intrusion Detection System）とは、ネットワークやサーバーに対する不審なアクセスや、ハッカーによる攻撃の兆候を監視し、異常を発見した際に管理者に通知するセキュリティシステムのことです。日本語では「侵入検知システム」と訳されます。
IDSは、ネットワーク上を流れるデータを常に監視し、既知の攻撃パターン（シグネチャ）と一致する通信がないかを調べる「シグネチャ検知」や、普段とは異なる異常な通信量の増加などを検出する「アノマリ検知」という技術を使っています。IDSはあくまでも「検知して知らせる（アラートを出す）」専門のシステムであるため、不審な通信を見つけても、自らそれを遮断したり防御したりする機能は持っていません。そのため、通知を受け取った管理者が迅速に対処を行う必要があります。
具体例
自宅や店舗に設置された「防犯センサー（または監視カメラ）」に例えられます。不審者が窓から侵入しようとしたときに、警報を鳴らして警備会社やオーナーに知らせますが、不審者をその場で取り押さえたり、窓を自動で閉めてロックしたりする機能はありません。IDSも同様に、不審な通信（侵入者）を見つけると、以下のようなアラートを管理者に送信します。
[警告] 外部IPアドレス 192.0.2.1 から大量の不審な接続試行を検知しました。もう少し詳しく
IDS（侵入検知システム）は、監視する対象や設置場所によって「ネットワーク型IDS（NIDS）」と「ホスト型IDS（HIDS）」に分類されます。
NIDS（Network-based IDS）は、ネットワークのセグメントを流れるすべてのパケットを監視（盗聴）するために、スイッチのミラーポートなどに接続されます。特定のサーバーに限らず、ネットワーク全体の不審なトラフィックを広範囲に検知できるのが特徴です。
一方、HIDS（Host-based IDS）は、監視対象のサーバーやパソコンに直接専用のソフトウェア（エージェント）をインストールして動作します。ホスト内のシステムログやイベントログ、OSの重要ファイルの改ざん、レジストリの変更などを監視するため、暗号化された通信が解読された後のローカルな動作や、特定のホストを狙ったローカルな攻撃を詳細に検知することができます。
検知の手法には、既知の攻撃パターンを定義したデータベース（シグネチャ）と照合する「シグネチャ検知（パターンマッチング方式）」と、正常時のトラフィックモデルを学習しておき、そこから大きく逸脱した通信パターンを検出する「アノマリ検知（異常検知方式）」があります。
試験でのポイント
試験では、IDSが「検知と管理者の通知」に特化したシステムであり、攻撃トラフィックを「自ら遮断・防御する機能はない」という基本仕様が問われます。
また、検知の精度に関する概念である「ファルスポジティブ（過検知・誤検知）」と「ファルスネガティブ（検知漏れ）」の違いも重要です。ファルスポジティブは、正常な通信を誤って攻撃と判断してしまうことで、これが多発するとアラートの監視業務が麻痺します。ファルスネガティブは、実際の攻撃を見落としてしまうことで、セキュリティ上の重大な脅威となります。これらの検知手法や設置タイプの組み合わせによる特徴を整理しておく必要があります。
関連する用語
関連する用語には、検知に加えて通信の自動遮断まで行う「IPS（侵入防止システム）」や、ネットワークの境界で不要なポートを塞ぐ「ファイアウォール」、セキュリティログを一元管理して相関分析を行う「SIEM（Security Information and Event Management）」があります。