Un sistema de prevención de intrusiones (IPS) detecta y bloquea las amenazas de red en tiempo real. Se ubica en línea, por lo que todo el tráfico pasa a través de él. Cuando detecta algo malicioso, descarta el paquete o restablece la conexión. Esta respuesta activa detiene ataques que un sistema de detección de intrusiones (IDS) solo reportaría. La contrapartida es el riesgo. Un IPS que bloquea el tráfico legítimo provoca una interrupción del servicio. Los falsos positivos son costosos cuando el sistema está en línea.

La tecnología IPS se solapa con los firewalls de próxima generación. Ambos inspeccionan el tráfico, bloquean las amenazas y aplican políticas. La distinción se ha desdibujado. Muchos proveedores venden plataformas unificadas que combinan firewall, IPS y control de aplicaciones. La implementación requiere una configuración cuidadosa. Comience con el modo de solo detección para aprender cómo es el tráfico normal. Luego, habilite el bloqueo para las firmas de mayor confianza. Amplíe gradualmente. Un IPS que bloquea demasiado agresivamente termina siendo desactivado por administradores frustrados. Un IPS que bloquea muy poco es simplemente un IDS costoso. El objetivo es detener automáticamente los ataques conocidos y dejar los ambiguos para la revisión humana. Las actualizaciones de firmas son importantes. Aparece una nueva vulnerabilidad y el IPS necesita la regla para bloquearla. Los proveedores publican actualizaciones periódicamente. Las organizaciones que no las aplican se quedan atrás.

Consideraciones para la implementación de IPS

• Ubicación en línea: todo el tráfico pasa por
• Falsos positivos: el bloqueo del tráfico legítimo provoca interrupciones del servicio.
• Actualizaciones de firmas: mantenga las reglas al día.
• Ajuste: comience en modo de detección y amplíe gradualmente.

Un IPS es un sistema de seguridad automatizado. Toma decisiones en fracciones de segundo. La eficacia de esas decisiones depende de las reglas y la configuración que las sustentan.