5.2.1 Khái niệm IPS:
Hệ thống xâm nhập IPS(Instrusion prevention systems) là bất kỳ một thiết bị phần cứng hay phần mềm nào có khả năng phát hiện và ngăn ngừa các nguy cơ mất an ninh mạng.
IPS là thiết bị tích hợp IDS và hiệ thống ngăn chặn nhằm khắc phục điểm yếu của IDS. IPS gồm hai phần chính :
Phần phát hiện xâm nhập chính là IDS.
Phần ngăn ngừa xâm nhập: nhằm mục đích bảo vệ tài nguyên, dữ liệu và mạng. Chúng sẽ làm giảm bớt những mối đe doạ tấn công bằng việc loại bỏ những lưu lượng mạng có hại hay có ác ý trong khi vẫn cho phép các hoạt động hợp pháp tiếp tục.
Các phương thức ngăn ngừa là:
- Những ứng dụng không mong muốn và những cuộc tấn công “Trojan horse” nhằm vào các mạng và các ứng dụng cá nhân, qua việc sử dụng các nguyên tắc xác định và các danh sách điều khiển truy nhập (access control lists).
- Các gói tin tấn công giống như những gói tin từ LAND và WinNuke qua việc sử dụng các bộ lọc gói tốc độ cao.
- Sự lạm dụng giao thức và những hành động lảng tránh những thao tác giao thức mạng giống như Fragroute và những khảo sát lấn TCP (TCP overlap exploits)
- Thông qua sự ráp lại thông minh.
- Các tấn công từ chối dịch vụ (DOS/DDOS) như “lụt” các gói tin SYN và ICMP bởi việc sử dụng các thuật toán lọc dựa trên cơ sở ngưỡng.
- Sự lạm dụng các ứng dụng và những thao tác giao thức – các cuộc tấn công đã biết và chưa biết chống lại HTTP, FTP, DNS, SMTP .v.v. qua việc sử dụng những quy tắc giao thức ứng dụng và chữ ký.
- Những cuộc tấn công quá tải hay lạm dụng ứng dụng bằng việc sử dụng các hữu hạn tiêu thụ tài nguyên dựa trên cơ sở ngưỡng.