Et system til forebyggelse af indtrængen registrerer og blokerer netværkstrusler i realtid. Det er integreret, så al trafik passerer igennem det. Når det ser noget ondsindet, afbryder det pakken eller nulstiller forbindelsen. Denne aktive reaktion stopper angreb, som et IDS kun ville rapportere. Afvejningen er risiko. En IPS, der blokerer legitim trafik, skaber et afbrydelse. Falske positiver er dyre, når systemet er integreret.

IPS-teknologi overlapper med næste generations firewalls. Begge inspicerer trafik, begge blokerer trusler og begge håndhæver politikker. Sondringen er blevet sløret. Mange leverandører sælger samlede platforme, der kombinerer firewall, IPS og applikationskontrol. Implementering kræver omhyggelig justering. Start med kun detektionstilstand for at lære, hvordan normal trafik ser ud. Aktiver derefter blokering for de signaturer med højest tillid. Udvid gradvist. En IPS, der blokerer for aggressivt, deaktiveres af frustrerede administratorer. En IPS, der blokerer for lidt, er bare et dyrt IDS. Målet er at stoppe kendte angreb automatisk og overlade de tvetydige til menneskelig gennemgang. Signaturopdateringer er vigtige. En ny udnyttelse dukker op, og IPS'en har brug for reglen for at blokere den. Leverandører sender regelmæssigt opdateringer. Organisationer, der ikke anvender dem, sakker bagud.

Overvejelser ved IPS-implementering

• Inline-placering — al trafik passerer igennem
• Falske positiver — blokering af legitim trafik forårsager afbrydelser
• Signaturopdateringer — hold reglerne opdaterede
• Tuning — start i detektionstilstand, udvid gradvist

En IPS er en automatiseret vagt. Den træffer beslutninger på et splitsekund. Disse beslutninger er kun så gode som reglerne og den indstilling, der ligger bag dem.