Hệ thống phòng ngừa xâm nhập (Intrusion Prevention Systems - IPS) là một trong các biện pháp bảo mật mạng quan trọng nhất. IPS thuộc loại hệ thống kiểm soát (control system), vì nó không chỉ phát hiện mối đe dọa tiềm ẩn đối với hệ thống mạng và cơ sở hạ tầng, mà còn chủ động chặn mọi kết nối có thể là mối đe dọa. Điều này khác với các biện pháp thụ động hơn như hệ thống phát hiện xâm nhập (IDS).
Công nghệ IPS là gì?
Hệ thống phòng ngừa xâm nhập liên tục giám sát lưu lượng mạng, cụ thể ở mức gói tin (packet) riêng lẻ, để tìm kiếm mọi tấn công độc hại tiềm ẩn. Nó thu thập thông tin về các gói tin này và báo cáo cho quản trị viên hệ thống, nhưng cũng tự thực hiện các biện pháp phòng ngừa. Nếu IPS phát hiện phần mềm độc hại hoặc loại tấn công phá hoại khác, nó sẽ chặn các gói tin đó truy cập mạng.
Nó cũng có thể thực hiện các bước khác, như khép kín các lỗ hổng bảo mật có thể bị khai thác liên tục. Nó có thể đóng các điểm truy cập mạng cũng như cấu hình tường lửa thứ cấp để tìm kiếm các loại tấn công này trong tương lai, thêm lớp bảo vệ cho hệ thống phòng thủ mạng.
IPS có thể ngăn chặn những loại tấn công nào?
Hệ thống phòng ngừa xâm nhập có thể tìm kiếm và bảo vệ chống lại nhiều loại tấn công độc hại. Chúng có khả năng phát hiện và chặn tấn công từ chối dịch vụ (DoS), tấn công từ chối dịch vụ phân tán (DDoS), bộ khai thác (exploit kits), sâu (worms), virus máy tính, và các loại phần mềm độc hại khác.
IPS làm gì khi phát hiện tấn công?
Hệ thống phòng ngừa xâm nhập có thể phát hiện các tấn công bằng cách phân tích gói tin và tìm chữ ký phần mềm độc hại cụ thể, tuy nhiên cũng có thể dùng theo dõi hành vi để tìm hoạt động bất thường trên mạng, cũng như giám sát các giao thức và chính sách bảo mật quản trị, và xem chúng có bị vi phạm không.
Nếu bất kỳ phương pháp phát hiện nào phát hiện tấn công tiềm ẩn, IPS có thể ngay lập tức chấm dứt kết nối mà tấn công đến từ đó. Địa chỉ IP vi phạm sau đó có thể bị chặn nếu IPS được cấu hình để làm vậy, hoặc tài khoản liên quan bị cấm truy cập mạng và tài nguyên kết nối.
IPS cũng có thể thay đổi cài đặt tường lửa cục bộ để cảnh giác các tấn công tương tự trong tương lai, và thậm chí có thể xóa bỏ mọi dấu vết của cuộc tấn công bằng cách loại bỏ header bị ảnh hưởng malware, file đính kèm bị nhiễm, và liên kết độc hại từ máy chủ file và email.
So sánh IDS và IPS
Hệ thống phát hiện xâm nhập (IDS) và hệ thống phòng ngừa xâm nhập (IPS) đều liên quan bảo mật, nhưng có mục tiêu và phương pháp hoàn toàn khác nhau.
Có nhiều loại IDS và IPS, mỗi loại hoạt động hơi khác. Với IDS, có hệ thống phát hiện xâm nhập mạng (NIDS) đặt ở các điểm chiến lược trong mạng để phát hiện tấn công tiềm ẩn đang diễn ra trong mạng. HIDS (hệ thống phát hiện xâm nhập máy chủ) chạy trên từng hệ thống/thiết bị riêng lẻ và chỉ giám sát hoạt động mạng đến và từ hệ thống đó.
Trong cả hai trường hợp, IDS phát hiện tấn công tiềm ẩn sẽ thông báo cho quản trị viên hệ thống.
Ngược lại, hệ thống IPS đóng vai trò tương tự IDS — và có thể dùng kết hợp với chúng để giám sát mạng toàn diện hơn — nhưng đóng vai trò chủ động hơn trong bảo vệ mạng. Chúng cũng thông báo cho quản trị viên nếu phát hiện tấn công, nhưng cũng thực hiện hành động trừng phạt đối với bất kỳ hệ thống, tài khoản cá nhân, hoặc lỗ hổng tường lửa để đảm bảo tấn công bị chặn và các file liên quan bị xóa khỏi mạng.
Như tên gọi gợi ý: hệ thống phát hiện xâm nhập được thiết kế để cho bạn biết nếu và khi nào tấn công xảy ra để bạn xử lý thủ công. Hệ thống phòng ngừa xâm nhập được thiết kế để chủ động bảo vệ hệ thống khỏi tấn công và ngăn chặn tấn công tương lai thông qua điều chỉnh tham số mạng.