Een inbraakpreventiesysteem detecteert en blokkeert netwerkdreigingen in realtime. Het bevindt zich in de netwerkverbinding, waardoor al het verkeer erdoorheen loopt. Wanneer het iets kwaadaardigs detecteert, verwijdert het het pakket of verbreekt het de verbinding. Deze actieve reactie voorkomt aanvallen die een IDS alleen zou melden. De keerzijde is het risico. Een IPS dat legitiem verkeer blokkeert, veroorzaakt een storing. Valse meldingen zijn kostbaar wanneer het systeem in de netwerkverbinding is geplaatst.

IPS-technologie overlapt met de volgende generatie firewalls. Beide inspecteren verkeer, beide blokkeren bedreigingen en beide handhaven beleid. Het onderscheid is vervaagd. Veel leveranciers verkopen geïntegreerde platforms die firewall, IPS en applicatiebeheer combineren. Implementatie vereist zorgvuldige afstemming. Begin met de detectiemodus om te leren hoe normaal verkeer eruitziet. Schakel vervolgens blokkering in voor de meest betrouwbare signatures. Breid geleidelijk uit. Een IPS dat te agressief blokkeert, wordt door gefrustreerde beheerders uitgeschakeld. Een IPS dat te weinig blokkeert, is slechts een dure IDS. Het doel is om bekende aanvallen automatisch te stoppen en de onduidelijke aanvallen door mensen te laten beoordelen. Signature-updates zijn belangrijk. Wanneer een nieuwe exploit verschijnt, heeft de IPS de regel nodig om deze te blokkeren. Leveranciers brengen regelmatig updates uit. Organisaties die deze niet toepassen, lopen achter.

Overwegingen bij de implementatie van IPS

• Inline plaatsing — al het verkeer passeert erdoorheen.
• Valse meldingen — het blokkeren van legitiem verkeer veroorzaakt storingen
• Handtekeningupdates — houd de regels actueel
• Afstemmen — begin in de detectiemodus en breid geleidelijk uit.

Een IPS is een geautomatiseerde bewaker. Het neemt in een fractie van een seconde beslissingen. De kwaliteit van die beslissingen hangt af van de regels en de afstemming ervan.