入侵检测的作用就是在异常行为造成损失之前发出警报。规则设置合理的话可以覆盖大部分常见的攻击方式，但是设置不合理的话就会在大量的告警中失去判断力。
监控对象分为三类。进程层主要关注异常启动、权限提升、可疑命令行参数；账户层主要关注非工作时间登录、连续失败、新增特权账户；文件层主要关注核心目录被修改、权限被放宽、新增可执行文件。三种情况相互印证，单一类别的告警一般很难定性。
规则阈值应该和基线相符合。正常的运维也会产生大量的进程创建和文件修改，直接告警的话就会淹没掉重要的信息。用近三十天的行为来建立白名单，把发布、备份、日志轮转等已知动作排除掉，剩下的部分再按照严重程度进行分级。
告警只是一个开始。发现异常的时候应该能够自动保存现场，比如进程树、网络连接以及相关的日志片段等，方便以后进行回溯。告警的送达方式也要有冗余，除了邮件之外还要增加即时通讯或者短信的方式，防止单一渠道失效导致漏看。
根据资产的变化来调整检测的范围。新增服务器、新上线的应用以及临时开放的管理界面都应该被加入到监控列表中，规则要随着资产台账一起进行更新。
每月的规则复核中会把长期没有命中过的条目标记出来，并且增加新的攻击特征。检测体系的价值就是不断进行校准，规则的数量不是判断的标准。