IDS basé hôte (HIDS)

Un IDS basé hôte (HIDS) s'exécute comme un agent à l'intérieur du système d'exploitation et surveille des artefacts locaux — intégrité de fichiers, modifications de registre, création de processus, appels système, événements d'authentification, journaux — pour détecter des intrusions qui ne transitent peut-être jamais sur le réseau. Les exemples classiques sont OSSEC, Wazuh, Tripwire et AIDE; les produits modernes d'EDR/XDR enrichissent les HIDS de télémétrie poussée, d'analyse comportementale et de capacités de réponse. Un HIDS voit ce que le NIDS ne voit pas: actions locales, activité chiffrée sur l'hôte et comportement post-compromission. Ses limites incluent la gestion des agents, la performance sur des serveurs chargés et la falsification si l'hôte est totalement compromis — d'où l'importance de centraliser les journaux.