Системы IDS и IPS анализируют сетевой трафик, чтобы обнаруживать признаки атак и нарушения заданных правил. Их роли различаются: IDS обычно сообщает о подозрительной активности, а IPS в режиме обработки трафика может блокировать нежелательные пакеты и соединения. Выбор зависит от того, требуется ли наблюдение, автоматическое предотвращение или последовательное внедрение обоих режимов.
Наблюдение или блокировка
Для пассивного контроля сенсор получает копию трафика, например через SPAN-порт коммутатора или сетевой TAP. Он помогает исследовать события без включения самого сенсора в основной путь передачи. Качество наблюдения зависит от того, какие направления и сегменты попадают в копию; перегруженный канал зеркалирования может ограничить полноту анализа.
При включении IPS в разрыв трафик проходит через систему проверки. Помимо качества обнаружения нужно оценить задержку, резервирование и поведение при перегрузке или отказе. Режим обхода и выбор между пропуском и остановкой трафика должны соответствовать требованиям защищаемого сервиса.
Как подготовить внедрение
- Определите точки контроля: периметр, серверный сегмент, связи между площадками или отдельные критичные сервисы. Одна точка наблюдения не даёт автоматически видимость всей сети.
- Задайте состав протоколов и приложений, ожидаемую скорость и число соединений. Для сравнения используйте производительность IPS с нужными правилами анализа, а не скорость интерфейсов.
- Согласуйте обновление сигнатур, обработку исключений и передачу событий в систему журналирования или SIEM. Назначьте ответственных за разбор срабатываний.
- Перед автоматической блокировкой проверьте правила на рабочем профиле трафика и согласуйте процедуру отката. Настройка должна учитывать допустимые приложения, чтобы снизить риск ложных срабатываний.
Параметры для сравнения
| Критерий | Что уточнить |
|---|---|
| Режим | Пассивное наблюдение, inline IPS, возможности обхода и резервирования. |
| Видимость | Зеркалируемые направления, TAP/SPAN, асимметричные маршруты и шифрованный трафик. |
| Обработка | Скорость анализа при выбранной политике, задержка и нагрузка на сенсор. |
| Сопровождение | Подписки, обновления правил, журналы и интеграция с мониторингом. |
Вопросы перед покупкой
IDS и IPS — взаимозаменяемые названия?
Нет. Обнаружение и предотвращение описывают разные действия. Отдельная платформа может поддерживать оба режима, но нужно проверить, как она подключается и какие действия разрешены её политикой.
Будет ли IPS проверять содержимое любого HTTPS-соединения?
Полный анализ содержимого требует доступа к расшифрованным данным. Возможность и схема TLS-инспекции зависят от решения и инфраструктуры. Их следует проверить вместе с исключениями, совместимостью приложений и влиянием на производительность.
Подбор решения в QBS
Укажите сегменты для контроля, схему подключения сенсора, объём и характер трафика, требования к блокировке, отказоустойчивости и передаче событий. Если готовая позиция пока не показана в разделе, направьте техническое задание для подбора.
Отправьте требования на info@qbs.ru. Комплектацию, доступность поставки, стоимость лицензий и условия поддержки необходимо подтвердить в предложении.
Смежные разделы: межсетевые экраны, UTM-устройства.
Дополнительные материалы: Cisco: обнаружение и предотвращение вторжений, Cisco: проектирование Firewall и IPS.