一般来说，入侵检测系统可分为主机型和网络型。
主机型入侵检测系统往往以系统日志、应用程序日志等作为数据源，当然也可以通过其他手段（如监督系统调用）从所在的主机收集信息进行分析。主机型入侵检测系统一般保护的是所在的系统。
网络型入侵检测系统的数据源则是网络上的数据包。往往将一台计算机的网卡设于混杂模式（promisc mode），监听本网段内的数据包并进行判断。网络型入侵检测系统一般担负着保护整个网段的任务。
