În funcție de design, prevenirea poate abandona pachete, reseta o conexiune, limita rata traficului, bloca o adresă sau un cont, pune în carantină o gazdă sau împiedica o acțiune locală.
Un IPS de rețea este plasat în mod obișnuit inline, astfel încât traficul trece prin calea sa de aplicare, în timp ce prevenirea la nivel de gazdă acționează pe sistemul protejat. Unele implementări folosesc un detector off-path pentru a solicita aplicarea în altă parte. Deoarece blocarea modifică comunicațiile live, politica trebuie să definească praguri de încredere, excepții, durata răspunsului, comportamentul la eșec și o cale rapidă de a inversa decizii dăunătoare.
Puncte esențiale
Baza de detectareFolosiți semnături, validare de protocol, metode comportamentale sau de anomalie, reputație și dovezi contextuale adecvate traficului și activelor protejate.
Proiectarea aplicăriiDeterminați ce acțiuni sunt locale sau delegate, cât durează blocajele, dacă starea este partajată și ce se întâmplă la suprasolicitare, eșecul senzorului, mentenanță sau pierderea conectivității cu planul de control.
Operare sigurăReglați și testați în mediul real, introduceți etapizat regulile cu impact mare, monitorizați falsele pozitive și ocolirile, păstrați dovezile și folosiți controlul de siguranță și schimbare specific locației pentru tehnologie operațională.
Limitare importantăUn IPS nu poate preveni ceea ce nu poate observa sau recunoaște. Criptarea, protocoalele nesuportate, evaziunile, căile alternative și comportamentul nou pot cauza rateuri, în timp ce un blocaj incorect poate întrerupe un serviciu legitim sau critic pentru siguranță.