침입 방지 시스템(IPS)은 네트워크 위협을 실시간으로 탐지하고 차단합니다. 모든 트래픽이 IPS를 통과하도록 인라인으로 설치되며, 악성 트래픽을 감지하면 패킷을 차단하거나 연결을 재설정합니다. 이러한 능동적인 대응은 IDS가 단순히 보고만 하는 공격도 차단합니다. 하지만 이러한 방식에는 위험 부담도 따릅니다. 정상적인 트래픽을 차단하는 IPS는 시스템 장애를 초래할 수 있으며, 인라인 시스템에서는 오탐으로 인한 손실이 클 수 있습니다.

IPS 기술은 차세대 방화벽과 여러 면에서 유사합니다. 둘 다 트래픽을 검사하고, 위협을 차단하며, 정책을 시행합니다. 하지만 두 기술의 경계가 모호해지고 있습니다. 많은 벤더들이 방화벽, IPS, 애플리케이션 제어 기능을 통합한 플랫폼을 판매하고 있습니다. 이러한 플랫폼을 구축하려면 신중한 조정이 필요합니다. 정상적인 트래픽이 어떤 모습인지 파악하기 위해 탐지 전용 모드로 시작하는 것이 좋습니다. 그 후 신뢰도가 높은 시그니처에 대한 차단을 활성화하고, 점진적으로 확장해 나가야 합니다. 지나치게 공격적으로 차단하는 IPS는 관리자의 불만으로 인해 사용이 중단될 수 있습니다. 반대로 너무 적게 차단하는 IPS는 값비싼 IDS에 불과합니다. 목표는 알려진 공격을 자동으로 차단하고 모호한 공격은 사람이 검토하도록 하는 것입니다. 시그니처 업데이트는 매우 중요합니다. 새로운 익스플로잇이 나타나면 IPS는 이를 차단할 수 있는 규칙이 필요합니다. 벤더들은 정기적으로 업데이트를 제공하며, 이를 적용하지 않는 조직은 뒤처지게 됩니다.

IPS 구축 시 고려 사항

• 인라인 배치 — 모든 트래픽이 통과합니다
• 오탐지 — 정상적인 트래픽을 차단하면 서비스 중단이 발생합니다.
• 서명 업데이트 — 규칙을 최신 상태로 유지하세요
• 튜닝 — 감지 모드에서 시작하여 점차 확장합니다.

IPS는 자동화된 보안 시스템입니다. 순식간에 결정을 내리는데, 이러한 결정의 정확도는 규칙과 그 규칙을 조정하는 방식에 따라 좌우됩니다.