Intrusion Prevention System (IPS)

Ein Intrusion Prevention System, kurz IPS, überwacht den Netzwerkverkehr auf Angriffsmuster und greift bei erkannten Bedrohungen unmittelbar ein. Im Unterschied zum rein beobachtenden Intrusion Detection System wird ein IPS inline im Datenpfad betrieben und kann Verbindungen blockieren, Pakete verwerfen oder Sitzungen zurücksetzen. Die Erkennung stützt sich auf Signaturen bekannter Angriffe, Protokollanalyse und Anomalieerkennung. Moderne Next Generation Firewalls enthalten IPS-Funktionen als festen Bestandteil. Typische abgewehrte Angriffe sind Exploits gegen bekannte Schwachstellen, Portscans, Brute-Force-Versuche und Schadsoftware-Kommunikation. Zu beachten sind die Auswirkungen auf Latenz und Durchsatz sowie die Gefahr von Fehlalarmen, die produktiven Verkehr blockieren. Regelmäßig aktualisierte Signaturen und eine sorgfältige Abstimmung der Regeln sind daher entscheidend für den zuverlässigen Betrieb.