入侵检测系统主要运行在网络层（第三层），通过分析网络流量来检测潜在的攻击行为。