IPS — Intrusion Prevention System

O IPS (Intrusion Prevention System), ou Sistema de Prevenção de Intrusões, é descrito nas fontes como a evolução ativa e reativa dentro da estratégia de detecção e prevenção de ameaças em redes. Enquanto o IDS atua apenas monitorando e alertando (modo passivo), o IPS tem a autoridade técnica para interromper um ataque em tempo real.

1. Natureza Ativa e Funcionalidades

Diferente dos sistemas passivos, o IPS opera em modo ativo (inline), o que lhe confere a capacidade de impedir que incidentes se concretizem. Suas funções principais incluem:

• Monitoramento e Identificação: Analisa o tráfego de rede em busca de atividades maliciosas em tempo real.
• Bloqueio e Interrupção: Quando uma ameaça é detectada, o IPS pode encerrar sessões de usuários (TCP RST), descartar pacotes (drop) ou reprogramar o firewall para bloquear o tráfego vindo de fontes suspeitas.
• Geração de Logs: Assim como o IDS, ele mantém um registro detalhado das atividades para auditoria posterior e conformidade (compliance).

Modos de Operação Inline vs. Offline

O IPS inline é posicionado fisicamente no caminho do tráfego (entre switch core e firewall, ou em modo bridge transparente). Cada pacote deve atravessar o IPS antes de chegar ao destino. Isso implica em latência adicional e em ser um ponto único de falha — daí a necessidade de bypass hardware em caso de falha de energia ou software.

2. Classificação por Posicionamento

NIPS (Network IPS)

Sensoreia o tráfego da rede inteira. Implementações típicas:

• Snort inline mode (NFQUEUE/AF_PACKET): Snort operando em modo IPS via Netfilter Queue do Linux.
• Suricata NFQ: Captura pacotes do kernel via nfqueue, analisa, e devolve o veredito (accept/drop).
• Cisco Firepower IPS (anterior Sourcefire): appliances físicos ou módulos virtuais.
• Palo Alto Threat Prevention: subsistema IPS integrado ao NGFW.
• Fortinet FortiGate IPS: assinaturas FortiGuard integradas ao FortiOS.
• Check Point IPS: blade IPS no Security Gateway.

HIPS (Host IPS)

Agente instalado em servidores críticos que aplica políticas preventivas no próprio host. Combina detecção comportamental, FIM (File Integrity Monitoring) e controle de execução de processos.

3. Mecanismos de Prevenção por Tecnologia

4. Integração Tecnológica (NGFW e SDN)

O IPS raramente opera de forma isolada nas arquiteturas modernas, sendo frequentemente integrado a outras plataformas:

• NGFW (Firewalls de Próxima Geração): Os firewalls modernos consolidam em um único hardware a capacidade de filtragem corporativa, controle de aplicações e o motor de IPS integrado. Soluções líderes: Palo Alto, Fortinet, Check Point, Cisco Firepower, SonicWall.
• SDN (Redes Definidas por Software): Em ambientes avançados e virtualizados, o IPS é combinado com firewalls virtuais e monitoramento de integridade para maximizar a defesa através de uma gestão ágil por software. Plataformas como VMware NSX Distributed Firewall e Cisco ACI suportam service insertion de IPS em qualquer ponto do datacenter.

Exemplo de configuração Suricata em modo IPS (NFQ)

# Regra iptables para enviar tráfego da interface para a fila 0
iptables -I FORWARD -j NFQUEUE --queue-num 0 --queue-bypass

# Suricata em modo inline com NFQ
suricata -c /etc/suricata/suricata.yaml \
  --nfq --qid 0 --runmode workers

# Em yaml: default-rule-action: drop

5. HIPS (Host IPS)

Assim como existe o IDS baseado em host, a função de prevenção também pode ser aplicada diretamente em servidores críticos através do HIPS.

• Se um HIDS identifica um programa acessando um arquivo indevidamente, a função de prevenção (HIPS) permite que o sistema aplique políticas imediatas, como alterar permissões do arquivo, movê-lo para um local seguro ou colocá-lo em quarentena.

Soluções comerciais típicas de HIPS incluem CrowdStrike Falcon, Trellix Endpoint Security, Cisco Secure Endpoint (AMP), e Sophos Intercept X, que combinam HIPS, EDR e AV em um único agente.

6. Falso Positivo vs. Falso Negativo

O falso positivo é particularmente grave em IPS inline, pois um único erro de assinatura pode derrubar uma aplicação crítica para milhares de usuários. Por isso, é prática comum:

1. Rodar regras novas em modo alert-only por algumas semanas.
2. Avaliar a taxa de falsos positivos.
3. Promover para drop apenas após validação.
4. Manter políticas de exceção (whitelist) por aplicação.

7. Métricas de Eficácia

• MTTD (Mean Time To Detect): tempo médio entre o início do ataque e a detecção.
• MTTR (Mean Time To Respond): tempo entre detecção e bloqueio efetivo.
• Coverage rate: percentual de técnicas MITRE ATT&CK cobertas pelas assinaturas.
• Throughput sustentado: Mbps/Gbps sem perda de pacotes.
• FDR (False Discovery Rate): % de alertas que são falsos positivos.

8. O Contexto do SOC (Security Operations Center)

Dentro de uma estrutura de monitoramento e gestão, o IPS é um pilar central da prevenção, que foca em promover boas práticas para evitar incidentes antes que eles causem danos. Ele trabalha em conjunto com a detecção para identificar problemas e fornecer a resposta a incidentes, solucionando as vulnerabilidades reportadas.

O fluxo típico em um SOC tier 1/2/3:

Evento do IPS → Triagem SOC L1 → Correlação SIEM → Análise L2 →
  Contenção L3 (regra IPS emergencial) → Pós-incidente (lições aprendidas)

9. Limitações

• Tráfego cifrado: O IPS só consegue inspecionar payload de TLS se houver SSL decryption (forward proxy), o que é proibido em alguns contextos (HIPAA, LGPD para dados sensíveis).
• Custo de latência: Em links de alta velocidade (40/100 Gbps), o IPS inline pode ser gargalo. Solução: appliances com ASICs dedicados (Palo Alto, Fortinet).
• Ataques lentos e baixo-e-slow: Ameaças que enviam poucos pacotes por hora podem não disparar assinaturas baseadas em thresholds.
• Evasão: Fragmentação IP, TTL manipulation, Unicode normalization, FTP bounce — técnicas clássicas para burlar IPS (veja Ptacek & Newsham, 1998, ainda aplicáveis).

10. Resumo Técnico

11. Conclusão

O IPS representa o "agente de segurança ativo" da rede: além de ver, ele age. Sua principal vantagem — resposta imediata — é também sua maior responsabilidade: um falso positivo pode causar indisponibilidade. Por isso, a tendência moderna é integrar o IPS em NGFWs e plataformas XDR, com tuning fino baseado em telemetria de rede, endpoint e identidade. Em arquiteturas Zero Trust, o IPS segue relevante para inspeção de tráfego Norte-Sul, enquanto EDR e microssegmentação cuidam do tráfego East-West.