IPS Nedir?

Öncülü yalnız izleyen sistemlerdi. Trafiği kopyalar, eşleşen bir şey görünce alarm üretir, gerisini insana bırakırdı. Alarm sayısı bakılabilir olmaktan çıkınca fikir değişti. Madem trafik zaten cihazın içinden geçiyor, kesme kararını da o versin.

Inline durmanın bedeli şu: yanlış eşleşmenin sonucu artık bir uyarı satırı yerine kesinti olur. İmza setini olduğu gibi engelleme moduna almak, kurumun kendi uygulamalarını da düşürür. Sık yapılan ikinci hata yön körlüğü. Sunucu yazılımlarını hedefleyen imzaları kullanıcı çıkışında çalıştırmak gürültüden başka bir şey üretmez; o imzalar dışarıdan sunucuya gelen trafikte anlamlıdır.

Doğru sıra önce izleme, sonra engellemedir. Bir süre kayıt toplayıp hangi imzaların kendi trafiğinizde tetiklendiğini görmeden hiçbir seti körlemesine açmayın. Kurulumdan önce iki sorunun cevabı da yazılı olsun. İmza güncellemelerini kim takip eder ve cihaz kilitlendiğinde trafik geçer mi, durur mu? İkincisi bir yapılandırma tercihidir ve kurumun risk tercihine göre bilinçli verilmesi gerekir; varsayılan ayar hiç görülmeden bırakıldığında bu karar üreticinin varsayılanına kalır.