Sistem pencegahan intrusi mendeteksi dan memblokir ancaman jaringan secara real-time. Sistem ini berada di jalur utama, sehingga semua lalu lintas melewatinya. Ketika mendeteksi sesuatu yang berbahaya, sistem akan membuang paket atau mereset koneksi. Respons aktif tersebut menghentikan serangan yang hanya akan dilaporkan oleh IDS. Namun, ada risiko yang menyertainya. IPS yang memblokir lalu lintas yang sah akan menyebabkan gangguan. Deteksi positif palsu sangat merugikan ketika sistem berada di jalur utama.

Teknologi IPS tumpang tindih dengan firewall generasi berikutnya. Keduanya memeriksa lalu lintas, keduanya memblokir ancaman, dan keduanya menegakkan kebijakan. Perbedaannya telah kabur. Banyak vendor menjual platform terpadu yang menggabungkan firewall, IPS, dan kontrol aplikasi. Penerapannya membutuhkan penyetelan yang cermat. Mulailah dengan mode deteksi saja untuk mempelajari seperti apa lalu lintas normal. Kemudian aktifkan pemblokiran untuk tanda tangan dengan tingkat kepercayaan tertinggi. Perluas secara bertahap. IPS yang memblokir terlalu agresif akan dinonaktifkan oleh administrator yang frustrasi. IPS yang memblokir terlalu sedikit hanyalah IDS yang mahal. Tujuannya adalah untuk menghentikan serangan yang dikenal secara otomatis dan menyerahkan serangan yang ambigu untuk ditinjau oleh manusia. Pembaruan tanda tangan sangat penting. Eksploitasi baru muncul, dan IPS membutuhkan aturan untuk memblokirnya. Vendor secara teratur merilis pembaruan. Organisasi yang tidak menerapkannya akan tertinggal.

Pertimbangan penerapan IPS

• Penempatan sejajar — semua lalu lintas melewatinya
• Hasil positif palsu — pemblokiran lalu lintas yang sah menyebabkan gangguan.
• Pembaruan tanda tangan — pastikan aturan selalu terkini.
• Penyetelan — mulai dalam mode deteksi, perluas secara bertahap

IPS adalah sistem penjaga otomatis. Sistem ini membuat keputusan dalam sepersekian detik. Keputusan tersebut hanya akan akurat jika didukung oleh aturan dan pengaturan yang tepat.