يكشف نظام منع الاختراقات التهديدات الشبكية ويحظرها في الوقت الفعلي. وهو يعمل ضمن الشبكة، لذا تمر جميع البيانات من خلاله. وعندما يكتشف أي نشاط ضار، يقوم بإسقاط الحزمة أو إعادة ضبط الاتصال. هذه الاستجابة الفورية توقف الهجمات التي قد يكتفي نظام كشف الاختراقات بالإبلاغ عنها. لكن هذا يأتي على حساب المخاطرة؛ فنظام منع الاختراقات الذي يحظر البيانات المشروعة قد يتسبب في انقطاع الخدمة. كما أن الإنذارات الكاذبة مكلفة للغاية عندما يكون النظام يعمل ضمن الشبكة.

تتداخل تقنية أنظمة منع الاختراق (IPS) مع جدران الحماية من الجيل التالي. فكلاهما يفحص حركة البيانات، ويحظر التهديدات، ويطبق السياسات. وقد تضاءل التمييز بينهما. إذ يبيع العديد من الموردين منصات موحدة تجمع بين جدار الحماية وأنظمة منع الاختراق والتحكم في التطبيقات. ويتطلب نشر هذه المنصات ضبطًا دقيقًا. ابدأ بوضع الكشف فقط لمعرفة شكل حركة البيانات الطبيعية. ثم فعّل خاصية الحظر للتوقيعات ذات الموثوقية العالية. وسّع نطاق الحظر تدريجيًا. فنظام منع الاختراق الذي يحظر بشكل مفرط يُعطّل من قِبل المسؤولين المحبطين. أما النظام الذي يحظر بشكل غير كافٍ فهو مجرد نظام كشف اختراق باهظ الثمن. والهدف هو إيقاف الهجمات المعروفة تلقائيًا وترك الهجمات الغامضة للمراجعة البشرية. تحديثات التوقيعات مهمة. فعند ظهور ثغرة أمنية جديدة، يحتاج نظام منع الاختراق إلى قاعدة لحظرها. ويصدر الموردون التحديثات بانتظام. أما المؤسسات التي لا تطبقها فتتخلف عن الركب.

اعتبارات نشر نظام منع التطفل

• وضع البيانات في المصفوفة — تمر جميع حركة المرور من خلالها
• النتائج الإيجابية الخاطئة - يؤدي حظر حركة المرور المشروعة إلى انقطاع الخدمة
• تحديثات التوقيع — حافظ على تحديث القواعد
• الضبط - ابدأ في وضع الكشف، ثم قم بالتوسيع تدريجياً

نظام الحماية من السرقة (IPS) هو نظام حراسة آلي. يتخذ قرارات في أجزاء من الثانية. وتعتمد جودة هذه القرارات على جودة القواعد والضبط الذي يقوم عليه النظام.