Un système de prévention des intrusions (IPS) détecte et bloque les menaces réseau en temps réel. Il est intégré au réseau, de sorte que tout le trafic le traverse. Lorsqu'il détecte une activité malveillante, il supprime le paquet ou réinitialise la connexion. Cette réaction proactive empêche les attaques qu'un système de détection d'intrusion (IDS) se contenterait de signaler. Le revers de la médaille est le risque. Un IPS qui bloque le trafic légitime provoque une interruption de service. Les faux positifs sont coûteux lorsque le système est intégré au réseau.

La technologie IPS recoupe les pare-feu de nouvelle génération. Toutes deux inspectent le trafic, bloquent les menaces et appliquent des politiques de sécurité. La frontière entre les deux s'estompe. De nombreux fournisseurs proposent des plateformes unifiées combinant pare-feu, IPS et contrôle des applications. Leur déploiement exige un paramétrage précis. Commencez par le mode de détection seule pour identifier le trafic normal. Activez ensuite le blocage pour les signatures les plus fiables. Procédez par étapes. Un IPS trop restrictif risque d'être désactivé par les administrateurs exaspérés. À l'inverse, un IPS trop laxiste n'est qu'un IDS coûteux. L'objectif est de bloquer automatiquement les attaques connues et de laisser les attaques ambiguës à l'analyse humaine. Les mises à jour de signatures sont essentielles. Dès qu'une nouvelle faille apparaît, l'IPS doit disposer de la règle de blocage. Les fournisseurs publient régulièrement des mises à jour. Les organisations qui ne les appliquent pas prennent du retard.

Considérations relatives au déploiement d'un système IPS

• Placement en ligne — tout le trafic passe par
• Faux positifs — le blocage du trafic légitime provoque des pannes
• Mises à jour des signatures — les règles restent à jour
• Réglage — commencer en mode détection, étendre progressivement

Un IPS est un système de protection automatisé. Il prend des décisions en une fraction de seconde. La qualité de ces décisions dépend des règles et du paramétrage qui les sous-tendent.