Ein NIDS analysiert den Netzwerkverkehr in Echtzeit auf bekannte Angriffssignaturen und anomale Verhaltensmuster. Im Gegensatz zu hostbasierten Systemen (HIDS) operiert ein NIDS auf Netzwerkebene und überwacht den gesamten Datenverkehr an strategischen Punkten der Infrastruktur.
In der SNOOSS-Architektur wird Suricata als leistungsstarkes Open-Source-NIDS eingesetzt, das über dedizierte Sensoren und Mirror-Ports den Netzwerkverkehr passiv analysiert.