IPSは、3つの1次脅威検知メソッドを単独または組み合わせて使用してトラフィックを分析します。

シグネチャベース型検知メソッドは、ネットワーク・パケットを分析して、アタック・シグニチャー（特定の脅威に関連する固有の特性や動作）を検知します。特定の マルウェアのバリアントに現れるコードのシーケンスは、アタック・シグニチャーの一例です。

シグネチャベース型IPS は、ネットワーク・パケットを比較するアタック・シグニチャーのデータベースを維持します。パケットがいずれかのシグネチャとの一致をトリガーした場合、IPSはアクションを実行します。シグネチャ・データベースは、新たな サイバー攻撃の出現や既存の攻撃の進化に伴い、新たな脅威インテリジェンスにより定期的に更新されなければなりません。ただし、シグネチャがまだ分析されていない全く新しい攻撃は、シグネチャベース型 IPS を回避する可能性があります。

異常ベースの検出メソッドでは、人工知能と 機械学習を使用して、通常のネットワーク・アクティビティーのベースライン モデルを作成し、継続的に改良します。IPSは、進行中のネットワーク・アクティビティーをモデルと比較し、通常よりも多くの帯域幅を使用するプロセスや、通常は閉じているポートを開いているデバイスなどの逸脱を検出すると、アクションを開始します。

異常ベースのIPSはあらゆる異常な動作に対応するため、多くの場合、シグネチャベース型検知を回避する可能性のある全く新しいサイバー攻撃をブロックできます。ソフトウェアのデベロッパーが気づく前に、あるいは パッチを当てる時間がないうちに、ゼロデイ・エクスプロイト（ ソフトウェアの脆弱性を利用した攻撃）をcatchすることもあります。

ただし、異常ベースの IPS は誤検知が発生しやすい可能性があります。許可ユーザーがセンシティブなネットワーク・リソースに初めてアクセスするなど、無害なアクティビティであっても、異常ベースの IPS がトリガーされる可能性があります。その結果、許可ユーザーがネットワークから起動されたり、IPアドレスがブロックされたりする可能性があります。

ポリシーベースの検出メソッドは、セキュリティー・チームによって設定されたセキュリティー・ポリシーに基づいています。ポリシーベースのIPSは、セキュリティー・ポリシーに違反するアクションを検出すると、その試みをブロックします。

たとえば、SOC は、どのユーザーとデバイスがホストにアクセスできるかを命令するアクセス制御ポリシーを設定する場合があります。無許可ユーザーがホストに接続しようとすると、ポリシーベースのIPSが接続を停止します。

ポリシーベースのIPSではカスタマイズが可能ですが、多額の先行投資が必要になる場合があります。セキュリティー・チームは、ネットワーク全体で何が許可され、何が禁止されているかを概説する包括的なポリシー・セットを作成する必要があります。

ほとんどのIPSは上記で概説した脅威検知メソッドを使用しますが、あまり一般的ではない手法を使用するIPSもあります。

レピュテーションベースの検出により、悪意あるアクティビティーまたは不審なアクティビティーに関連するIPアドレスおよびドメインからのトラフィックにフラグを立ててブロックします。ステートフル・プロトコル分析は、プロトコルの動作に焦点を合わせます。たとえば、単一IPアドレスが短期間に多数の同時TCP接続要求を行ったことを検出することで、分散型サービス拒否（DDoS）攻撃を特定することができます。

IPSは脅威を検出すると、イベントをログ記録し、多くの場合 セキュリティー情報およびイベント管理（SIEM） ツールを通じてSOCに報告します (下記の「IPS およびその他のセキュリティー・ソリューション」を参照)。

しかし、IPSはそれだけではありません。次のような手法を使用して、脅威に対して自動的にアクションを実行します。

IPSソリューションは、エンドポイントにインストールされるソフトウェア・アプリケーションであったり、ネットワークに接続された専用ハードウェア・デバイスであったり、またはクラウド・サービスとして配信される場合があります。IPSは悪意あるアクティビティーをリアルタイムでブロックできる必要があるため、ネットワーク上の常に「インライン」に配置されます、すなわちトラフィックは宛先に到達する前にIPSを直接通過します。

IPSは、ネットワーク内のどこに存在するか、および監視するアクティビティーの種類に基づいて分類されます。多くの組織は、ネットワーク内で複数のタイプの IPS を使用しています。

ネットワークベースの侵入防御システム (NIPS) は、ネットワーク上のデバイスへの受信トラフィックとアウトバウンド・トラフィックを監視し、個々のパケットに不審なアクティビティーがないか検査します。NIPSはネットワークの戦略的ポイントに設置されます。多くの場合、ネットワーク境界のファイアウォールのすぐ後ろに配置され、侵入する悪意あるトラフィックを阻止できます。NIPSは、重要なデータ・センター やデバイスなどの重要なアセットとの間のトラフィックを監視するためにネットワーク内に配置する場合もあります。

ホストベースの不正侵入防御システム（HIPS）は、ラップトップやサーバーなどの特定のエンドポイントにインストールされ、そのデバイスとの間のトラフィックのみを監視します。HIPSは通常、必須のアセットに特別のセキュリティーを追加するためにNIPSと組み合わせて使用されます。HIPS は、感染したデバイスから拡散するランサムウェアなど、侵害されたネットワーク ノードからの悪意あるアクティビティーをブロックすることもできます。

ネットワーク動作分析（NBA）ソリューションは、ネットワーク・トラフィック・フローを監視します。NBAは他の IPS と同様にパケットを検査する場合がありますが、多くのNBAは、送信元と宛先のIPアドレス、使用されるポート、送信されたパケット数など、通信セッションのより高いレベルの詳細に焦点を合わせています。

NBAは異常ベースの検知メソッドを使用し、DDoS攻撃トラフィックまたは無効なコマンドとコントロール・サーバーと通信するマルウェアに感染したデバイスなど、標準から逸脱するフローにフラグを立ててブロックします。

ワイヤレス不正侵入防御システム（WIPS）は、会社のWi-Fiにアクセスする無許可ユーザーやデバイスなど、不審なアクティビティーがないかワイヤレス・ネットワーク・プロトコルを監視します。WIPS は、ワイヤレス・ネットワーク上で不明のエンティティーを検出すると、接続を終了することがあります。WIPS は、Wi-Fiネットワーク上の構成が間違っているデバイスやセキュアでないデバイスを検出し、ハッカーがユーザーの通信を密かに監視する中間者攻撃を傍受するのにも役立ちます。

IPSはスタンドアロン・ツールとして利用できますが、総合的なサイバーセキュリティー・システムの一部として他のセキュリティー・ソリューションと緊密に統合されるように設計されています。

IPSアラートは多くの場合、組織のSIEMに送られ、単一の集中型のダッシュボードで他のセキュリティー・ツールからのアラートや情報と組み合わせることができます。IPSとSIEMを統合すると、セキュリティー・チームは追加の脅威インテリジェンスによりIPSアラートを強化し、誤ったアラームを除外し、脅威が確実にブロックされたことを確認するためにIPSアクティビティーをフォローアップできます。多くの組織が複数のタイプを使用しているため、SIEMSは、SOCがさまざまな種類のIPSからのデータを調整するのにも役立ちます。

前述したように、IPSはIDSから進化したもので、同じ機能を多く備えています。組織によっては、個別のIPSソリューションとIDSソリューションを使用している場合もありますが、ほとんどのセキュリティー・チームは、堅固な検出、ログ、レポート、自動脅威防御を提供する単一の統合ソリューションをデプロイしています。多くのIPSを使用すると、セキュリティー・チームは防御機能をシャットオフでき、組織が望む場合には純粋なIDSとして機能できるようになります。

IPSは、ファイアウォールの背後にある第2の防御線として機能します。ファイアウォールは境界で悪意あるトラフィックをブロックし、IPSはファイアウォールを突破してネットワークに侵入しようとするあらゆるものを傍受します。一部のファイアウォール、特に次世代ファイアウォールにはIPS機能が組み込まれています。