IPS คืออะไร?
Intrusion Prevention System ระบบป้องกันการบุกรุก ตรวจสอบ Network Traffic แบบ Real-time ตรวจจับและ บล็อก (Block) การโจมตีที่รู้จัก ทันทีที่เกิดขึ้น
IPS vs IDS vs Firewall
| คุณสมบัติ | Firewall | IDS | IPS |
|---|---|---|---|
| การตัดสินใจ | Rule-based (IP, Port, Protocol) | Signature/Anomaly Detection | Signature/Anomaly + Auto Block |
| ตำแหน่ง | Network Edge | Out-of-band (Tap/SPAN) | Inline (In-band) |
| การตอบสนอง | Allow/Deny | Alert Only | Drop Packet, Reset Connection, Block IP |
ประเภทของ IPS
- NIPS (Network-based IPS): ติดตั้ง Inline บน Network Segment
- WIPS (Wireless IPS): ป้องกัน Wireless Attacks
- HIPS (Host-based IPS): ติดตั้งบน Endpoint
- NBA (Network Behavior Analysis): Anomaly-based
วิธีทำงาน (Detection Methods)
- Signature-based: เปรียบเทียบกับ Database ลายเซ็นการโจมตีที่รู้จัก (Snort Rules)
- Anomaly-based (Statistical): เรียนรู้ Baseline ปกติ แจ้งเตือน/บล็อกเมื่อเบี่ยงเบน
- Policy-based: บังคับนโยบายองค์กร (เช่น ห้าม P2P, Tor)
ทำไมต้องมี IPS?
- ป้องกัน Known Exploits ระหว่างรอ Patch (Virtual Patching)
- บล็อก Malware C2, Botnet, Brute Force, DDoS, SQLi, XSS
- Compliance (PCI-DSS, HIPAA ต้องการ IPS)
Open Source IPS
- Snort: Rule-based, มาตรฐานอุตสาหกรรม (Cisco/Talos)
- Suricata: Multi-threaded, รองรับ PCAP, Eve JSON, NSM
- Zeek (Bro): Network Security Monitor, Deep Packet Analysis
ตำแหน่งติดตั้ง IPS
ใกล้ Network Edge: ระหว่าง Firewall และ Internal Network หรือหน้า Critical Servers (DMZ)
