IPS

IPS — система предотвращения вторжений, которая инспектирует сетевой трафик или активность хоста и способна блокировать пакеты, сеансы, источники сетевой активности либо действия на узле по правилам безопасности. Для воздействия на сетевой поток сетевая IPS обычно размещается в разрыве защищаемого канала либо интегрируется с сетевым устройством, применяющим блокировку. Решение использует сигнатуры, протокольный анализ, анализ событий ОС, репутационные данные и поведенческие методы. Пропускная способность сетевой IPS должна оцениваться с учётом включённых функций, размера пакетов, TLS-инспекции и числа правил. Некорректно настроенное правило или ложное срабатывание может ограничить легитимный сервис. Сетевые IPS применяют на границах сегментов, перед публичными сервисами и в каналах доступа к критичным системам, а хостовые IPS — на защищаемых узлах. В эксплуатационной модели важны тестирование политик, режим мониторинга перед блокировкой, журналирование и процедура оперативного отката правил. IPS отличается от IDS активным предотвращением: IDS преимущественно сообщает о событии, тогда как IPS может прервать передачу или заблокировать действие на узле. IPS не тождествен межсетевому экрану: firewall обычно применяет правила адресов, портов и состояний, а IPS анализирует признаки атак на уровне содержимого, протоколов и активности узла.