入侵检测至少包括三个模块：信息源、发现入侵迹象的分析引擎、响应部件。由事件产生器、事件分析器、响应单元和事件数据库四个组件构成，前三个主要是以程序形式出现，最后一个一般为数据包或文件。事件就是需要分析的数据，可以是数据包也可以是系统日志中记录的信息