IDS Baseado em Rede (NIDS)

Um IDS baseado em rede (NIDS) recebe uma cópia espelhada ou capturada via TAP do tráfego — por portas SPAN, network TAPs, packet brokers ou taps virtuais — e analisa-a com assinaturas (regras Snort/Suricata), decodificadores de protocolo (Zeek) e modelos estatísticos. NIDS oferecem ampla visibilidade sobre muitos hosts sem agente em cada endpoint, sendo úteis para monitoramento norte-sul e leste-oeste e fundamentais para SOC e threat hunting. Como TLS criptografa grande parte do tráfego atual, o NIDS depende cada vez mais de metadados TLS, fingerprints JA3/JA4 e análise comportamental de fluxos. Uso eficaz exige design cuidadoso de TAP, capacidade de captura, sincronização de relógio e integração a SIEM e NDR.