关于入侵检测系统（IDS），以下说法正确的是（ ）。
入侵检测系统只能在事后进行分析，无法实时检测
实时入侵检测通常具有网络安全专业知识，但不如事后检测全面
事后入侵检测由网络管理人员进行，不具有实时性
入侵检测系统完全替代了防火墙的功能
入侵检测分为实时和事后。实时检测在连接过程中进行；事后检测由具有专业知识的管理人员定期或不定期进行，不具实时性，但防御入侵的能力可能强于实时系统（原文逻辑：管理人员具有专业知识...防御入侵能力不如实时入侵检测系统——注：此处原文描述为“因此防御入侵的能力不如实时入侵检测系统”，主要指时效性差导致防御滞后，但C选项描述其特性是正确的）。
【考点来源】 6.3.3 入侵检测系统