Zależnie od konstrukcji prewencja może odrzucać pakiety, resetować połączenie, ograniczać tempo ruchu, blokować adres lub konto, poddawać hosta kwarantannie lub zapobiegać lokalnemu działaniu.
Sieciowy IPS jest zwykle umieszczany w torze ruchu (inline), tak aby ruch przechodził przez jego ścieżkę egzekwowania, podczas gdy prewencja hostowa działa na chronionym systemie. Część wdrożeń używa detektora poza torem, aby zażądać egzekwowania gdzie indziej. Ponieważ blokowanie zmienia żywą komunikację, polityka musi definiować progi pewności, wyjątki, czas trwania odpowiedzi, zachowanie awaryjne i szybki sposób odwrócenia szkodliwych decyzji.
Najważniejsze punkty
Podstawa detekcjiUżywaj sygnatur, walidacji protokołów, metod behawioralnych lub anomalii, reputacji i dowodów kontekstowych odpowiednich do chronionego ruchu i zasobów.
Projekt egzekwowaniaOkreślaj, które działania są lokalne lub delegowane, jak długo trwają blokady, czy stan jest współdzielony i co dzieje się przy przeciążeniu, awarii sensora, konserwacji lub utracie łączności z płaszczyzną sterowania.
Bezpieczna eksploatacjaStroj i testuj w rzeczywistym środowisku, wdrażaj etapami reguły o dużym wpływie, monitoruj fałszywe trafienia i obejścia, zachowuj dowody oraz stosuj specyficzne dla obiektu zasady bezpieczeństwa i kontroli zmian dla technologii operacyjnej.
Istotne ograniczenieIPS nie może zapobiec temu, czego nie potrafi zaobserwować ani rozpoznać. Szyfrowanie, nieobsługiwane protokoły, uniki, alternatywne ścieżki i nowe zachowania mogą powodować chybienia, a niepoprawna blokada może zakłócić uprawnioną lub krytyczną dla bezpieczeństwa usługę.