Os sistemas baseados em estação foram os primeiros tipos de IDS a serem desenvolvidos e implementados. Eles começaram no inicio dos anos 80. Os IDS de estação podem ser instalados em diferentes tipos de maquinas, como servidores, estações de trabalho e notebook. Esses sistemas coletam e analisam dados originados nos computadores que hospedam um serviço, como servidor de web. Uma vez que o dado é agregado em um dado computador, ele pode ser analisado localmente ou enviado para uma maquina central de analise. Um exemplo de sistema baseado em estação são programas que operam em um sistema e recebem aplicações ou logs do sistema operacional. Esses programas são altamente efetivos para detectar abusos de dentro. Residindo em sistemas confiáveis, eles estão perto dos usuários autênticos da rede. Se um desses usuários tentar realizar alguma atividade desautorizada, o IDS de estação geralmente detecta e coleta a maioria da informações possíveis, da maneira mais rápida. Esse tipo de sistema também é efetivo em detectar modificações em arquivos não autorizadas.

Vantagens dos IDS baseados em estação:

            - Como podem monitorar eventos localmente, os IDS de estação conseguem detectar ataques que não conseguem ser detectados por IDS de rede;
            - Trabalham em ambientes onde o trafego seja criptografado, desde que os dados sejem encriptados na estação antes do envio ou decriptados nos host após o recebimento;
            - Não são afetados por switches;

Desvantagens dos IDS baseados em estação:

            - São de difícil monitoramento, já que em cada estação deve ser instalado e configurado um IDS;
            - Podem ser desativados por DoS;
            - Recursos computacionais são consumidos nas estações monitoradas, com diminuição do desempenho;
            - O IDS pode ser atacado e desativado, escondendo um ataque, se as fontes de informações residirem na estação monitorada;

           Alguns IDS de estação comercializados: RealSecure, ITA, Squire, e Entercept.

           Abaixo é apresentada uma figura de uma rede com IDS de estação, onde as figuras em amarelo representam os sistemas onde o IDS esta instalado.