Un sistem de prevenire a intruziunilor detectează și blochează amenințările la nivelul rețelei în timp real. Acesta este conectat la rețea, astfel încât tot traficul trece prin el. Când vede ceva rău intenționat, elimină pachetul sau resetează conexiunea. Acest răspuns activ oprește atacurile pe care un IDS le-ar raporta doar. Compromisul este riscul. Un IPS care blochează traficul legitim creează o întrerupere a serviciului. Rezultatele fals pozitive sunt costisitoare atunci când sistemul este conectat la rețea.

Tehnologia IPS se suprapune cu firewall-urile de generație următoare. Ambele inspectează traficul, ambele blochează amenințările și ambele impun politici. Distincția a devenit estompată. Mulți furnizori vând platforme unificate care combină firewall-ul, IPS-ul și controlul aplicațiilor. Implementarea necesită o ajustare atentă. Începeți cu modul doar de detectare pentru a afla cum arată traficul normal. Apoi, activați blocarea pentru semnăturile cu cea mai mare încredere. Extindeți treptat. Un IPS care blochează prea agresiv este dezactivat de administratorii frustrați. Un IPS care blochează prea puțin este doar un IDS scump. Scopul este de a opri automat atacurile cunoscute și de a le lăsa pe cele ambigue pentru revizuire umană. Actualizările semnăturilor contează. Apare o nouă vulnerabilitate, iar IPS-ul are nevoie de regula pentru a o bloca. Furnizorii lansează actualizări în mod regulat. Organizațiile care nu le aplică rămân în urmă.

Considerații privind implementarea IPS

• Plasare în linie — tot traficul trece prin
• Rezultate fals pozitive — blocarea traficului legitim provoacă întreruperi
• Actualizări de semnături — mențineți regulile la zi
• Reglare — pornire în modul de detectare, extindere treptată

Un IPS este o gardă automată. Ia decizii într-o fracțiune de secundă. Aceste decizii sunt la fel de bune ca regulile și reglajele din spatele lor.