IDS / IPS
System monitorujący, który wykrywa ataki (IDS) lub aktywnie je blokuje (IPS).
Analizuje ruch sieciowy lub zdarzenia z logów w poszukiwaniu znanych wzorców. Przykłady open source: Snort, Suricata, Zeek. Wykrywanie opiera się na sygnaturach albo na anomaliach. We współczesnych stosach SOC (SIEM + XDR) funkcję IDS zwykle pełni jeden z modułów całości.