intrångspreventionssystem

Intrusion Prevention System (IPS) er en sikkerhedsløsning, der overvåger netværkstrafik og systemaktiviteter i realtid for at identificere og forhindre ondsindet aktivitet, før den når systemet. En IPS fungerer typisk som en inline-enhed i netværket og kan blokere eller afvise trafik baseret på sikkerhedspolitikker.

IPS’er kan være netværksbaserede (NIPS) eller værtbaserede (HIPS). En NIPS placeres inline mellem netværkets ind- og udgang og beskytter hele trafikflowet. En HIPS installeres på individuelle værter og beskytter disse mod trusler ved at overvåge og filtrere udgående og indgående aktivitet på værtsniveauet.

Funktioner og driftsprincipper omfatter signaturbaseret detektion, heuristisk- eller anomali-baseret detektion samt protokolanalyse. IPS’er kan automatisk blokere eller begrænse mistænkelig trafik i realtid, give logdata og sende alarmer til SIEM-systemer, og de opdateres løbende med nye regler og trusselsinformation.

Fordelene inkluderer reduktion af eksponeringsflader for kendte sårbarheder og angreb, forbedret synlighed samt mulighed for automatiseret hændelseshåndtering. IPS’er findes ofte som en del af omfattende sikkerhedsløsninger og kan integreres med næste generations firewalls og SIEM-værktøjer.

Udfordringer omfatter risiko for falske positiver eller falske negativer, ydeevneomkostninger og vanskeligheder med at inspicere krypteret TLS-trafik. Regelmæssig vedligeholdelse, tuning af regler og opdateringer er nødvendige for at bevare effektiviteten og reducere fejlblokering.

Eksempeltyper og teknologier inkluderer netværksbaserede IPS-løsninger samt open source-projekter som Snort og Suricata, der leverer rammer for trafikovervågning og forebyggelse. IPS er en del af et lagdelt forsvar og supplerer andre sikkerhedsforanstaltninger som firewalls, endpoint-sikkerhed og sikkerhedsoperationer.