Служба безопасности IPS обычно развертывается «в линию», где она находится на прямом пути связи между источником и получателем, где она может анализировать в «реальном времени» весь поток сетевого трафика на этом пути и принимать автоматические превентивные меры. IPS можно развернуть в любом месте сети, но наиболее распространенными местами развертывания являются:
- Граница предприятия, его периметр
- Корпоративный центр обработки данных
IPS может быть развернута как лучшая в своем роде автономная IPS или такая же возможность может быть включена в функции консолидированной IPS внутри брандмауэра следующего поколения (NGFW). IPS использует сигнатуры, которые могут находить конкретные уязвимости или эксплойт для идентификации вредоносного трафика. Как правило, это либо обнаружение на основе сигнатур, либо статистическое обнаружение на основе аномалий для идентификации вредоносной активности.
- Обнаружение на основе сигнатур использует уникальные идентифицируемые подписи, которые находятся во вредоносном эксплойт-коде. При обнаружении эксплойтов их подписи попадают во все более расширяющуюся базу данных. Обнаружение на основе сигнатур для IPS включает либо сигнатуры, ориентированные на эксплойты, которые идентифицируют отдельные эксплойты, либо сигнатуры, ориентированные на уязвимости, идентифицирующие уязвимость в системе, на которую направлена атака. Сигнатуры, ориентированные на уязвимости, важны для выявления потенциальных вариантов эксплойтов, которые не были замечены ранее, но они также повышают риск получения ложных положительных результатов (доброкачественные пакеты, ошибочно обозначенные как угрозы).
- Обнаружение аномалий на основе статистики производит случайную выборку сетевого трафика, а затем сравнивает образцы с базовыми показателями уровня производительности. Когда образцы определяются как находящиеся за пределами базовой линии, IPS запускает действие для предотвращения потенциальной атаки.
Как только IPS идентифицирует вредоносный трафик, который может быть использован в сети, она устанавливает так называемый виртуальную заплатку (патч) для защиты. Виртуальный патч действует как мера безопасности против угроз, использующих известные и неизвестные уязвимости. Виртуальный патч работает путем внедрения уровней политик и правил безопасности, которые предотвращают и пресекают использование уязвимостей по сетевым путям, тем самым обеспечивая защиту от уязвимостей на сетевом уровне, а не на уровне хоста.
В то время как системы IDS следят за сетью и отправляют сетевым администраторам предупреждения о потенциальных угрозах, системы IPS предпринимают более существенные действия для контроля доступа к сети, отслеживают данные о вторжениях и предотвращают развитие атак.
