# IPS (Intrusion Prevention System)

**IPS**(Intrusion Prevention System, 침입 방지 시스템)는 네트워크 또는 호스트에서 발생하는 비정상적인 트래픽이나 악성 코드의 침입 시도를 실시간으로 탐지하고, 이를 차단하여 시스템과 네트워크의 보안을 강화하는 보안 장치 또는 소프트웨어 솔루션입니다. IPS는 주로 네트워크의 중요한 지점에 배치되어 유입되는 모든 패킷을 분석하며, 사전에 정의된 규칙이나 이상 징후 기반의 알고리즘을 통해 위협을 식별하고 즉시 대응합니다.

## 개요 및 기본 개념

IPS는 네트워크 보안 인프라에서 방화벽(Firewall)과 침입 탐지 시스템(IDS, Intrusion Detection System)의 기능을 통합하고 확장한 개념으로 볼 수 있습니다. 기존 방화벽이 IP 주소, 포트, 프로토콜 등 정적 규칙에 기반하여 접근을 제어하는 '경계 보안'에 중점을 둔다면, IPS는 패킷의 페이로드(Payload) 내용을 심층 분석하여 악성 코드, exploit 코드, 또는 비정상적인 패턴을 찾아내는 '심층 패킷 검사(DPI)' 기술을 활용합니다.

주요 특징은 다음과 같습니다:
*   **실시간 차단**: 위협이 감지되는 즉시 해당 연결을 끊거나 패킷을 폐기합니다.
*   **심층 분석**: 단순한 헤더 정보가 아닌 데이터의 내용까지 분석하여 위장된 공격을 탐지합니다.
*   **자동화 대응**: 인력 개입 없이 자동으로 위협을 차단하여 대응 시간을 최소화합니다.

## IPS의 작동 원리

IPS는 일반적으로 다음과 같은 단계로 작동합니다.

1.  **트래픽 수집**: 네트워크 인터페이스를 통해 유입되는 모든 패킷을 실시간으로 캡처합니다.
2.  **프로토콜 분석**: 수집된 패킷의 프로토콜 구조를 해석하여 정상적인 흐름인지 확인합니다.
3.  **위협 매칭**: 내부에 저장된 시그니처(Signature, 공격 패턴 데이터베이스)와 비교하여 알려진 공격인지 확인합니다.
4.  **이상 징후 분석**: 시그니처에 매칭되지 않더라도 통계적 이상치나 행동 패턴을 통해 새로운 변종 공격(Zero-day)을 탐지하기도 합니다.
5.  **대응 조치**: 위협이 확인되면 차단(Blocking), 경고(Logging), 또는 연결 재설정(RST) 등의 조치를 취합니다.

## IPS의 주요 탐지 방식

IPS는 위협을 탐지하는 방식에 따라 크게 두 가지로 분류됩니다.

### 1. 시그니처 기반 탐지 (Signature-based Detection)
기존에 알려진 공격 패턴의 데이터베이스(시그니처)를 사용하여 매칭하는 방식입니다.
*   **장점**: 알려진 공격에 대해 높은 정확도를 보이며, 위양성(False Positive)률이 상대적으로 낮습니다.
*   **단점**: 새로운 변종 공격이나 알려지지 않은 공격(Zero-day)은 탐지할 수 없습니다. 시그니처 데이터베이스의 정기적인 업데이트가 필수적입니다.

### 2. 이상 징후 기반 탐지 (Anomaly-based Detection)
네트워크의 정상적인 트래픽 패턴을 학습하여 기준선을 설정하고, 이를 벗어나는 이상 행위를 탐지하는 방식입니다.
*   **장점**: 알려지지 않은 새로운 공격이나 변종 공격을 탐지할 수 있는 잠재력이 있습니다.
*   **단점**: 초기 학습 기간이 필요하며, 정상적인 트래픽 변화(예: 갑작스러운 트래픽 폭증)를 공격으로 오인할 수 있는 위양성 가능성이 높습니다.

## IPS와 IDS의 차이점

IPS와 유사한 개념인 IDS(Intrusion Detection System, 침입 탐지 시스템)와의 주요 차이점은 **대응 방식**에 있습니다.

| 구분 | IDS (침입 탐지 시스템) | IPS (침입 방지 시스템) |
| :--- | :--- | :--- |
| **주요 기능** | 위협 탐지 및 알림 | 위협 탐지 및 **실시간 차단** |
| **모드** | 수동 모드 (Passive) | 능동 모드 (Active) |
| **배치 위치** | 네트워크 분기점 (Tap/Switch Port Mirror) | 네트워크의 주요 경로 (Inline) |
| **성능 영향** | 트래픽에 영향 없음 | 트래픽 처리 지연 발생 가능 |
| **리스크** | 공격은 발생하지만 알림으로 대응 | 차단으로 인한 정상 트래픽 오차 발생 가능 |

IDS는 단순히 공격 사실을 로그로 남기고 관리자에게 알림을 주는 데 그치는 반면, IPS는 공격 트래픽이 내부 네트워크로 유입되기 전에 미리 차단한다는 점에서 더 적극적인 보안 수단을 제공합니다.

## IPS의 장단점

### 장점
*   **실시간 보안 강화**: 공격이 완료되기 전에 차단함으로써 데이터 유출이나 시스템 손상을 예방합니다.
*   **다양한 공격 유형 대응**: SQL 인젝션, 크로스 사이트 스크립팅(XSS), 버퍼 오버플로우 등 다양한 애플리케이션 계층 공격을 탐지합니다.
*   **규정 준수 지원**: 많은 보안 규정(PCI-DSS, ISO 27001 등)에서 침입 방지 시스템의 도입을 권장하거나 요구합니다.

### 단점 및 고려 사항
*   **성능 병목**: 심층 패킷 검사로 인해 처리 속도가 느려질 수 있으며, 고대역폭 환경에서는 전용 하드웨어가 필요합니다.
*   **위양성(False Positive)**: 정상적인 트래픽을 공격으로 오인하여 서비스 중단을 초래할 수 있으므로, 규칙 튜닝이 중요합니다.
*   **암호화 트래픽 한계**: SSL/TLS로 암호화된 트래픽은 내용을 확인하지 못하므로, SSL 복호화 기능이 필요하거나 암호화 트래픽은 탐지 대상에서 제외될 수 있습니다.

## 관련 기술 및 발전 방향

최근 IPS는 단순한 네트워크 장비의 역할을 넘어 다음과 같이 진화하고 있습니다.

1.  **NG-IPS (Next-Generation IPS)**: 시그니처 기반 탐지에 머신러닝(ML)과 인공지능(AI)을 결합하여 지능형 위협 탐지 능력을 향상시켰습니다.
2.  **SASE 및 클라우드 기반 IPS**: 클라우드 환경에서 확장 가능한 보안 서비스로 제공되며, 분산된 사용자를 위한 보안 정책 일관성을 유지합니다.
3.  **통합 보안 플랫폼**: 방화벽, IPS, VPN, 웹 게이트웨이 등의 기능을 단일 장치 또는 플랫폼으로 통합하여 관리 효율성을 높이는 추세입니다.

## 결론

IPS는 현대 네트워크 보안의 핵심 요소로, 방화벽의 정적 규칙만으로는 막을 수 없는 심층적인 공격으로부터 조직을 보호하는 중요한 역할을 합니다. 그러나 IPS만으로는 완벽한 보안을 달성할 수 없으므로, 방화벽, 안티바이러스, SIEM(Security Information and Event Management) 등 다른 보안 솔루션과 연동하여 다층적인 방어 체계(Layered Defense)를 구축하는 것이 필수적입니다. 또한, 지속적인 시그니처 업데이트와 규칙 튜닝을 통해 위양성을 최소화하고 탐지 정확도를 높이는 관리가 필요합니다.