Un Intrusion Prevention System (IPS) è un controllo di sicurezza che ispeziona il traffico di rete in tempo reale, lo confronta con firme di minaccia, regole comportamentali o condizioni di policy e blocca il traffico che sembra malevolo. A differenza di un rilevatore passivo, un IPS può scartare pacchetti, resettare sessioni o mettere in quarantena i flussi prima che raggiungano un host interno.
L'IPS è importante perché molti attacchi si basano ancora su pattern riconoscibili come payload di exploit, beacon di comando e controllo, tentativi di brute force e abuso dei protocolli. In pratica, i difensori collocano l'IPS inline ai confini di rete, all'interno dei data center o nei servizi firewall erogati dal cloud per ridurre l'esposizione senza fare affidamento solo sugli strumenti endpoint. Un tuning efficace dell'IPS è importante: troppo restrittivo, può interrompere il traffico legittimo; troppo permissivo, e gli attacchi passano. Le implementazioni IPS moderne spesso combinano le firme con il contesto derivato da identità, applicazione e ispezione TLS, così da poter applicare le policy in ambienti a più livelli.