System zapobiegania włamaniom wykrywa i blokuje zagrożenia sieciowe w czasie rzeczywistym. Działa w trybie inline, więc cały ruch przez niego przechodzi. Gdy wykryje coś złośliwego, odrzuca pakiet lub resetuje połączenie. Ta aktywna reakcja zatrzymuje ataki, które system IDS jedynie zgłasza. Wadą jest ryzyko. System IPS, który blokuje legalny ruch, powoduje awarię. Fałszywe alarmy są kosztowne, gdy system działa w trybie inline.

Technologia IPS pokrywa się z zaporami nowej generacji. Obie inspekcjonują ruch, blokują zagrożenia i egzekwują polityki. Różnica ta uległa zatarciu. Wielu dostawców oferuje ujednolicone platformy łączące zaporę sieciową, IPS i kontrolę aplikacji. Wdrożenie wymaga starannego dostrojenia. Zacznij od trybu tylko wykrywania, aby dowiedzieć się, jak wygląda normalny ruch. Następnie włącz blokowanie dla sygnatur o najwyższym poziomie ufności. Stopniowo rozszerzaj. System IPS, który blokuje zbyt agresywnie, jest wyłączany przez sfrustrowanych administratorów. System IPS, który blokuje zbyt mało, to po prostu drogi system IDS. Celem jest automatyczne zatrzymywanie znanych ataków i pozostawienie niejednoznacznych do oceny przez człowieka. Aktualizacje sygnatur mają znaczenie. Pojawia się nowy exploit, a system IPS potrzebuje reguły, aby go zablokować. Dostawcy regularnie publikują aktualizacje. Organizacje, które ich nie stosują, pozostają w tyle.

Rozważania dotyczące wdrożenia IPS

• Umieszczenie w linii — cały ruch przechodzi przez
• Fałszywe alarmy — blokowanie prawidłowego ruchu powoduje przerwy w działaniu
• Aktualizacje podpisów — aktualizuj zasady
• Strojenie — rozpocznij w trybie wykrywania, stopniowo rozszerzaj

IPS to zautomatyzowany strażnik. Podejmuje decyzje w ułamku sekundy. Decyzje te są tak dobre, jak zasady i mechanizmy, które za nimi stoją.