Ett intrångsskyddssystem upptäcker och blockerar nätverkshot i realtid. Det är inline, så all trafik passerar genom det. När det ser något skadligt avbryter det paketet eller återställer anslutningen. Den aktiva responsen stoppar attacker som ett IDS bara skulle rapportera. Avvägningen är risk. En IPS som blockerar legitim trafik skapar ett avbrott. Falska positiva resultat är dyra när systemet är inline.

IPS-tekniken överlappar med nästa generations brandväggar. Båda inspekterar trafik, blockerar hot och tillämpar policyer. Skillnaden har suddats ut. Många leverantörer säljer enhetliga plattformar som kombinerar brandvägg, IPS och applikationskontroll. Implementering kräver noggrann anpassning. Börja med endast detekteringsläge för att lära dig hur normal trafik ser ut. Aktivera sedan blockering för signaturer med högst tillförlitlighet. Expandera gradvis. En IPS som blockerar för aggressivt inaktiveras av frustrerade administratörer. En IPS som blockerar för lite är bara ett dyrt IDS. Målet är att stoppa kända attacker automatiskt och lämna de tvetydiga för mänsklig granskning. Signaturuppdateringar är viktiga. En ny exploit dyker upp, och IPS:en behöver regeln för att blockera den. Leverantörer publicerar uppdateringar regelbundet. Organisationer som inte tillämpar dem hamnar på efterkälken.

Att tänka på vid IPS-distribution

• Inline-placering — all trafik passerar igenom
• Falska positiva resultat – att blockera legitim trafik orsakar avbrott
• Signaturuppdateringar – håll reglerna aktuella
• Inställning — starta i detekteringsläge, utöka gradvis

En IPS är en automatiserad vakt. Den fattar beslut på bråkdelen av en sekund. Dessa beslut är bara så bra som reglerna och den inställning som ligger bakom dem.