Обычно, такие системы строятся следующим образом: трафик заворачивается по ДНС на серверную ферму на толстых каналах, там фактически стоит простая прокся+специальный софт (аппаратно/программные комплексы) для анализа и фильтрации. В нормальном состоянии собирается статистика о посещаемости ресурса, кто, когда, куда и сколько ходит при отклонении от параметров, считается за атаку и начинает чистить.
Как таковые это не IDS, принцип работы другой. и предназначены IDS для другого.
Может быть развернут весь трафик(например BGP), но возвращать его придется по туннелю. (Касперский). И не всегда это можно сделать.
