Dans le mode IDS, SNORT n'enregistre pas tous les paquets capturés comme dans le mode sniffeur mais applique un ensemble de règles sur chacun d'eux.
Si un paquet coïncide avec une règle, le paquet est alors enregistrer ou une alerte est déclenchée.
Sinon, le paquet est supprimé.