behatolásmegelzést

Behatolás-megelőzés (IPS, az angol intrusion prevention system) olyan biztonsági technológia, amely valós időben figyeli a hálózati forgalmat és a gazdagépek tevékenységét, hogy észleljen és megakadályozzon rosszindulatú behatolási kísérleteket vagy a szabályok megsértését. Célja az aktív védelem, a károk megelőzése és a kompromittálódás gyors korrekciója.

Két fő típusa van: hálózati IPS (NIPS) és gazdagépen futó IPS (HIPS). A NIPS a hálózati útvonalon elemzi a forgalmat és azonosítja a bejövő és kimenő kéréseket; a HIPS pedig a konkrét számítógépen telepített szoftverként működik, és a helyi szabályokat alkalmazza.

Működése szabványos szignatúrákkal (signature-based) és viselkedéselemzéssel (anomaly-based) dolgozik, gyakran mindkettő kombinációját használja. Amikor egy esemény megfelel egy szignatúrának vagy viselkedési szabálynak, az IPS beavatkozik: letiltja vagy visszaállítja a kapcsolatot, vagy módosítja a forgalmat, hogy megakadályozza a károkat. Bizonyos rendszerek TLS/SSL forgalom ellenőrzésére is képesek.

Telepítés és karbantartás: az IPS-t gyakran a tűzfalak mellett vagy közvetlenül az útvonalban helyezik el. Fontos a teljesítmény és a hamis pozitívok csökkentése érdekében a szabályok hangolása, a szignatúrák frissítése és a rendszeres tesztelés. A virtuális környezetben és felhőben is elérhetőek IPS-szolgáltatások.

Összefüggés más biztonsági technológiákkal: az IPS kiegészíti a behatolás-észlelést (IDS) és a tűzfalakat, és gyakran integrálódik SIEM rendszerekkel a naplózás és a központi elemzés érdekében.

Megjegyzés: noha hatékony, az IPS nem garantálja a teljes védelmet; a támadók fejlettebb technikákat alkalmazhatnak, és az adaptív környezetben időről időre finomhangolásra van szükség, valamint figyelembe kell venni az adatvédelmi és teljesítményhatásokat.