侵入防御システム（IPS）は、ネットワークの脅威をリアルタイムで検知し、ブロックします。IPSはネットワークのインライン上に配置されるため、すべてのトラフィックがIPSを通過します。悪意のあるトラフィックを検出すると、パケットを破棄するか、接続をリセットします。この積極的な対応により、IDSが報告するだけの攻撃も阻止できます。ただし、リスクも伴います。正当なトラフィックをブロックするIPSは、ネットワーク障害を引き起こします。また、IPSがネットワークのインライン上に配置されている場合、誤検知は大きな損失につながります。

IPSテクノロジーは次世代ファイアウォールと重複しています。どちらもトラフィックを検査し、脅威をブロックし、ポリシーを適用します。その区別は曖昧になってきています。多くのベンダーは、ファイアウォール、IPS、アプリケーション制御を組み合わせた統合プラットフォームを販売しています。導入には慎重な調整が必要です。まず、検出のみのモードで通常のトラフィックがどのようなものかを把握します。次に、最も信頼性の高いシグネチャのブロックを有効にします。段階的に拡張します。ブロックが過剰に積極的なIPSは、管理者の不満によって無効化されます。ブロックが少なすぎるIPSは、高価なIDSに過ぎません。目標は、既知の攻撃を自動的に阻止し、曖昧な攻撃は人間のレビューに任せることです。シグネチャの更新は重要です。新しいエクスプロイトが出現すると、IPSはそれをブロックするためのルールを必要とします。ベンダーは定期的に更新をプッシュします。更新を適用しない組織は遅れをとります。

IPS導入に関する考慮事項

• インライン配置 - すべてのトラフィックが通過します
• 誤検知 ― 正当なトラフィックをブロックすることで障害が発生する
• 署名の更新 — ルールを最新の状態に保つ
• チューニング — 検出モードから開始し、徐々に拡張する

IPSは自動化された警備システムであり、瞬時に判断を下します。その判断の精度は、ルールとその設定の精度に左右されます。