Et inntrengingssystem oppdager og blokkerer nettverkstrusler i sanntid. Det er innebygd, slik at all trafikk går gjennom det. Når det ser noe skadelig, kobler det fra pakken eller tilbakestiller forbindelsen. Den aktive responsen stopper angrep som et IDS bare ville rapportert. Avveiningen er risiko. En IPS som blokkerer legitim trafikk skaper et driftsavbrudd. Falske positiver er dyre når systemet er innebygd.

IPS-teknologi overlapper med neste generasjons brannmurer. Begge inspiserer trafikk, begge blokkerer trusler og begge håndhever policyer. Skillet er blitt uklart. Mange leverandører selger enhetlige plattformer som kombinerer brannmur, IPS og applikasjonskontroll. Implementering krever nøye justering. Start med kun deteksjonsmodus for å lære hvordan normal trafikk ser ut. Aktiver deretter blokkering for signaturene med høyest konfidens. Utvid gradvis. En IPS som blokkerer for aggressivt blir deaktivert av frustrerte administratorer. En IPS som blokkerer for lite er bare et dyrt IDS. Målet er å stoppe kjente angrep automatisk og overlate de tvetydige til menneskelig gjennomgang. Signaturoppdateringer er viktige. En ny utnyttelse dukker opp, og IPS-en trenger regelen for å blokkere den. Leverandører sender ut oppdateringer regelmessig. Organisasjoner som ikke bruker dem, henger etter.

Hensyn til IPS-distribusjon

• Innebygd plassering – all trafikk går gjennom
• Falske positiver – blokkering av legitim trafikk forårsaker driftsavbrudd
• Signaturoppdateringer – hold reglene oppdatert
• Tuning – start i deteksjonsmodus, utvid gradvis

En IPS er en automatisert vakt. Den tar avgjørelser på et splittsekund. Disse avgjørelsene er bare så gode som reglene og innstillingen bak dem.