Un IDS usa alguna de las dos siguientes técnicas para determinar que un ataque se encuentra en curso: