入侵防御系统 (IPS) 实时检测并阻止网络威胁。它采用串联部署，所有流量都必须经过它。一旦检测到恶意流量，它会丢弃数据包或重置连接。这种主动响应机制可以阻止入侵检测系统 (IDS) 只能报告的攻击。但这种机制也存在风险。如果 IPS 阻止了合法流量，则会导致网络中断。对于串联部署的系统而言，误报的代价也很高昂。

入侵防御系统 (IPS) 技术与下一代防火墙的功能有所重叠。两者都会检查流量、拦截威胁并执行策略，二者之间的区别已变得模糊不清。许多厂商销售集防火墙、IPS 和应用控制于一体的统一平台。部署 IPS 需要精心调优。首先使用仅检测模式，了解正常流量的特征。然后启用对置信度最高的特征码的拦截功能，并逐步扩展。拦截过于激进的 IPS 会被管理员禁用，而拦截不足的 IPS 则沦为昂贵的入侵检测系统 (IDS)。目标是自动拦截已知的攻击，并将模糊的攻击留给人工审核。特征码更新至关重要。一旦出现新的漏洞利用程序，IPS 就需要相应的规则来拦截它。厂商会定期推送更新。不应用这些更新的组织将会落后于时代。

IPS部署注意事项

• 直列式布局——所有交通流经此处
• 误报——阻塞合法流量导致服务中断
• 签名更新——保持规则最新
• 调谐——从检测模式开始，逐步扩展

入侵防御系统（IPS）是一种自动化防御系统，它能在瞬间做出决策。而这些决策的有效性取决于规则的制定和背后的调优。