Ein Intrusion Prevention System blockiert oder verwirft Verkehr, der gefährliche Muster zeigt, bevor das Ziel erreicht wird.
Das Sperren ist der Sinn dieser Kontrolle: eine passende Sitzung wird gestoppt, zurückgesetzt oder isoliert, statt nur in ein Protokoll geschrieben zu werden.
So funktioniert es
Das Gerät braucht einen Ort, an dem es die Weiterleitung verweigern kann, und das bedeutet meist, dass es auf dem Weg steht, den die Pakete ohnehin kreuzen müssen.
Regeln zielen auf Angriffsmuster, Befehlskanäle und andere Muster, die Hersteller oder Team als unsicher für die Zustellung markiert haben.
Eine schlechte Regel kann eine erlaubte Anwendung stoppen, deshalb stufen Betreiber neue Sperren, achten auf plötzliche Einbrüche im Geschäftsverkehr und halten einen schnellen Weg bereit, eine Regel zurückzunehmen.
Der Wert ist Schaden, der im Augenblick vermieden wird, und die Betriebskosten sind die Disziplin, das Unternehmen nicht aus Versehen zu sperren.
Konkrete Beispiele
- Ein Gerät im Rechenzentrum setzt eine Sitzung zurück, die ein bekanntes unsicheres Muster gegen ein altes Webrahmenwerk trifft.
- Ein Standortgerät isoliert einen Laptop, der beginnt, eine Befehlsadresse zu kontaktieren, die in der Sperrrichtlinie steht.
- Während eines Verkaufs unterbricht eine neu eingeschaltete Sperre die Bezahlanwendung, bis die Betreiber die Regel auf das tatsächliche unsichere Muster verengen.
Schutzmaßnahmen
- Setzen Sie neue Sperrregeln zuerst in eine Beobachtungsstufe, wann immer der geschäftliche Schaden eines Irrtums schwer wäre.
- Halten Sie eine geprüfte Rücknahme bereit, damit eine fehlerhafte Sperre in Minuten entfernt werden kann und nicht erst nach einem langen Wartungsfenster.
- Messen Sie gesperrte Sitzungen gegen den Dienst, den sie betreffen, damit Ihnen eine Regel auffällt, die Kunden schadet.
- Stellen Sie die Sperre dorthin, wo sie Verkehr wirklich verweigern kann, und beschreiben Sie einen reinen Protokollsensor nicht so, als wäre er diese Kontrolle.