（一）NIDS

由一组用途单一的计算机组成。通过侦听网络系统，捕获网络数据包，并依据网络包是否包含攻击特征，或者网络通信流是否异常来识别入侵行为。

网卡模式：混杂模式，监视所有服务器和主机，监控所有经过的流量。

（二）组成结构

（1）探测器：分布在网络中不同区域，通过侦听（嗅探）方式获取网络包，将检测到的攻击行为形成报警事件，向管理控制器发送报警信息。

（2）管理控制器：监控不同网络区域的探测器，接收来自探测器的报警信息。

（三）检测入侵行为

1. 同步风暴 SYN Flood
2. DDoS攻击
3. 网络扫描
4. 缓冲区溢出
5. 协议攻击
6. 流量异常
7. 非法网络访问

（四）常见软件

（五）优点

1. 适当配置可监控大型网络的安全状况
2. 对网络影响小，属于被动型设备，只监听网络而不干扰网络正常运作
3. 可以很好避免攻击，对于攻击者甚至不可见

（六）缺点

1. 在高速网络中很难处理所有网络包，可能出现漏检现象
2. 多数交换机不提供针对VLAN的统一监测端口，减少了监测范围
3. 探测器无法对加密数据包中的协议进行有效分析
4. 仅依靠网络流量无法推知命令执行结果，无法判断攻击是否成功