Podle svého návrhu může prevence zahazovat pakety, resetovat spojení, rate-limitovat provoz, blokovat adresu či účet, dát hostitele do karantény nebo zabránit lokální akci.
Síťový IPS se běžně umisťuje inline, takže provoz prochází jeho vynucovací cestou, zatímco hostitelská prevence působí na chráněném systému. Některá nasazení používají detektor mimo cestu, který žádá o vynucení jinde. Protože blokování mění živé komunikace, musí politika definovat prahy jistoty, výjimky, dobu trvání reakce, chování při selhání a rychlý způsob, jak škodlivá rozhodnutí vrátit.
Klíčové body
Základ detekcePoužívejte signatury, validaci protokolů, behaviorální či anomáliové metody, reputaci a kontextové důkazy vhodné k chráněnému provozu a aktivům.
Návrh vynuceníUrčete, které akce jsou lokální nebo delegované, jak dlouho blokování trvá, zda je stav sdílený a co se děje při přetížení, selhání senzoru, údržbě či ztrátě konektivity řídicí roviny.
Bezpečný provozLaděte a testujte v reálném prostředí, vysokodopadová pravidla zavádějte postupně, monitorujte falešné pozitivy a obcházení, uchovávejte důkazy a pro provozní technologie používejte lokalitní posouzení bezpečnosti a řízení změn.
Důležité omezeníIPS nedokáže zabránit tomu, co nemůže pozorovat nebo rozpoznat. Šifrování, nepodporované protokoly, evaze, alternativní cesty a nové chování mohou způsobit minutí, zatímco nesprávné blokování může narušit legitimní či bezpečnostně kritickou službu.