Ein Intrusion-Prevention-System (IPS) erkennt und blockiert Netzwerkbedrohungen in Echtzeit. Es ist in den Netzwerkverkehr integriert, sodass der gesamte Datenverkehr darüber läuft. Sobald es etwas Schadhaftes erkennt, verwirft es das entsprechende Datenpaket oder trennt die Verbindung. Diese aktive Reaktion verhindert Angriffe, die ein Intrusion-Detection-System (IDS) lediglich melden würde. Der Nachteil ist das Risiko: Ein IPS, das legitimen Datenverkehr blockiert, kann zu einem Ausfall führen. Fehlalarme sind bei einem Inline-System kostspielig.

IPS-Technologie überschneidet sich mit Next-Generation-Firewalls. Beide analysieren den Datenverkehr, blockieren Bedrohungen und setzen Richtlinien durch. Die Grenzen sind verschwommen. Viele Anbieter verkaufen einheitliche Plattformen, die Firewall, IPS und Anwendungskontrolle vereinen. Die Implementierung erfordert sorgfältige Konfiguration. Beginnen Sie mit dem reinen Erkennungsmodus, um den normalen Datenverkehr kennenzulernen. Aktivieren Sie anschließend die Blockierung für die zuverlässigsten Signaturen. Erweitern Sie die Funktionalität schrittweise. Ein IPS, das zu aggressiv blockiert, wird von frustrierten Administratoren deaktiviert. Ein IPS, das zu wenig blockiert, ist lediglich ein teures IDS. Ziel ist es, bekannte Angriffe automatisch zu stoppen und unklare Angriffe einer manuellen Überprüfung zu überlassen. Signatur-Updates sind entscheidend. Sobald eine neue Sicherheitslücke auftaucht, benötigt das IPS die entsprechende Regel, um sie zu blockieren. Anbieter stellen regelmäßig Updates bereit. Organisationen, die diese nicht installieren, geraten ins Hintertreffen.

Überlegungen zur IPS-Implementierung

• Inline-Platzierung – der gesamte Verkehr fließt hindurch
• Fehlalarme – die Blockierung des legitimen Datenverkehrs führt zu Ausfällen.
• Aktualisierung der Signaturen – Regeln aktuell halten
• Optimierung – im Erkennungsmodus beginnen, schrittweise erweitern

Ein IPS ist ein automatisiertes Schutzsystem. Es trifft Entscheidungen in Sekundenbruchteilen. Diese Entscheidungen sind jedoch nur so gut wie die zugrunde liegenden Regeln und deren Feinabstimmung.