Um sistema de prevenção de intrusão (IPS) deteta e bloqueia ameaças de rede em tempo real. Opera em linha, portanto todo o tráfego passa por ele. Quando deteta algo malicioso, descarta o pacote ou reinicia a ligação. Esta resposta ativa impede ataques que um sistema de deteção de intrusão (IDS) apenas reportaria. A contrapartida é o risco. Um IPS que bloqueia o tráfego legítimo provoca uma interrupção. Os falsos positivos são dispendiosos quando o sistema opera em linha.

A tecnologia IPS sobrepõe-se aos firewalls de última geração. Ambos inspecionam o tráfego, bloqueiam ameaças e aplicam políticas. A distinção entre eles, porém, tornou-se menos nítida. Muitos fornecedores vendem plataformas unificadas que combinam firewall, IPS e controlo de aplicações. A implementação requer ajustes cuidadosos. Comece com o modo de deteção apenas para aprender como é o tráfego normal. Em seguida, ative o bloqueio para as assinaturas de maior confiança. Expanda gradualmente. Um IPS que bloqueia de forma muito agressiva acaba por ser desativado por administradores frustrados. Um IPS que bloqueia muito pouco é apenas um IDS caro. O objetivo é interromper os ataques conhecidos automaticamente e deixar os ambíguos para análise humana. As atualizações de assinaturas são importantes. Surge uma nova vulnerabilidade e o IPS necessita da regra para a bloquear. Os fornecedores lançam atualizações regularmente. As organizações que não as aplicam ficam para trás.

Considerações sobre a implementação do IPS

• Posicionamento em linha reta — todo o tráfego passa por ela.
• Falsos positivos — o bloqueio do tráfego legítimo provoca interrupções.
• Atualizações de subscrição — mantenha as regras atualizadas
• Ajuste — comece no modo de deteção e expanda gradualmente.

Um IPS é um sistema de segurança automatizado. Toma decisões em frações de segundo. Estas decisões são tão boas quanto as regras e o ajustamento que as sustentam.