侵入検知システム
IDPSは主に以下の構成要素からなる:
センサーやエージェントには、そこで利用されているOSのバージョンなどの情報収集機能が備わっている場合がある。
なお、ログはローカルと集中ログサーバの両方に保管する事がデータの完全性と可用性の観点から望ましい。また正しい分析を行うには、ログはNTPなどを用いる事で全ての構成要素間で時刻の整合性を取る必要がある。
IDPSの構成要素間の通信は、組織の標準ネットワークを利用する場合と、IDPSなどの管理専用ネットワークを利用する場合がある。後者の方がIDPS自身が攻撃を受ける危険を避けられる上、標準ネットワークが攻撃等により正常に動作しない場合でも監視や分析が可能だという利点があるが、その分コストが増大する。なお、コストを抑えつつ管理ネットワークだけ分離する方法として、VLANで標準ネットワークと管理ネットワークを分離する方法があるが、VLANによる分離は物理的な分離ほど安全性面の効果が得られない上、標準ネットワークと管理ネットワークは物理ネットワークを共有しているので、物理的分離よりネットワークが飽和する危険が高い。
オープンソースのIDPS であるSnortを例に管理サーバの中身を解説すると、以下のようになっている:
各種IDPSではパケットキャプチャには例えばpcap 、BPF等が使われる。また商用のIDPSでは大量のトラフィックを処理できるようにするため、専用のNICを用いている物が多い。