Системы обнаружения и предотвращения вторжений (IDP) - cемейство cпециализированных продуктов, особенностью которых является использование комплексного метода обнаружения вторжений (включающего анализ поведения протоколов, характера трафика, обнаружение предопределенных последовательностей, распознавание атак типа backdoor, IP spoof, Syn-flood и др.), точность которого позволяет осуществляеть немедленную терминацию атак в реальном времени. Семейство продуктов NetScreen-IDP включает три одинаковые по функциональности модели (IDP-10, IDP-100, IDP-500), различающиеся величиной пропускной способности и ассортиментом интерфейсов. NetScreen-IDP включается непосредственно в линию связи и может работать в режиме моста (без IP адресов на интерфейсах) и маршрутизатора. Устройство может быть использовано и в качестве пассивного детектора атак (сниффера).

    Комплексный метод включает в себя ряд технологий обнаружения атак, основными из которых являются:

• Обнаружение предопределенных последовательностей (Stateful Signatures). Наиболее известный метод. Если классическая реализация этого метода заключается только в анализе потока данных на предмет наличия в нем некоторой заранее известной информационной последовательности (шаблона), то особенность реализации NetScreen состоит в том, что содержимое этого потока соотносится с состоянием соответствующих сессий и особенностями приложений, которым эти сессии принадлежат. За счет этого метод NetScreen получил название Stateful Signature Detection и в отличие от классической реализации (типа IDS) характеризуется очень низкой вероятностью получения ложного результата анализа.
• Анализ аномалий протокола (Protocol Anomalies). Обнаружение аномалий протокола, также иногда называют анализом протокола, это возможность анализа проходящих пакетов для выявления неправильности по отношению к общепринятых в Internet спецификациям. Эти правила определены в соответствии с протоколами и стандартами (RFC), также как и определенные производителями оборудования. Основная задача - это осуществить механизм обнаружения вторжения, который бы выявлял траффик не подходящий под спецификацию протокола либо каким либо образом отходящий от станадрта. Как только неправильность будет определена, будет принято решение о защите сети. Этот метод очень эффективен при обнаружении подозительных действий, таких как атака переполнения буффера (buffer-overflow attack).
• Анализ аномалий траффика (Traffic Anomalies). Существует множество аттак, которые содержатся в установленной коммуникационной сессией, но так же очень важно обнаружить аттаки, которые происходят в траффике проходящем в многочисленном количестве сессий. Один из примеров таких аттак является сканирование портов и сети. Сканирование портов и сети происходит в том случае, когда злоумышленник используя специальные средства, пытается определить какие сервисы разрешены и работают в системе. Это выполняется проверкой каждого порта на машине (port scanning) либо определенного порта по всей сети (network scanning). Злоумышленник использует данную информацию для использования известных уязвимостей найденных рабочих сервисов на обнаруженных в результате сканирования открытых портов. Аттаки такого вида как правило определяются большим объемом траффика и определенной последовательностью.
• Backdoor Detection. Технология позволяет распознавать интерактивное взаимодействие злоумышленника с ПО, уже несанкционированно установленным на хосте внутренней сети. Данное ПО может быть установленно либо умышленно с целью кражи информации, либо через программы технологии "троянского коня" через почту либо через переносной компьютер сотрудника включенный в корпоративную сеть организации. Это наиболее опасный вид атаки, поскольку ее результатом может быть не нарушение функционирования подлежащих защите сетевых и информационных ресурсов, а полный контроль злоумышленника над ними и краже конфиденциальной информации. С помощью этого метода могут быть обнаружены и некоторые неизвестные атаки, в основе которых не лежит технология нестандартного использования протоколов и которые, соответственно, не удается выявить с помощью метода анализа поведения протоколов.

• Juniper Network IDP 50/200/600/1100
• Juniper Networks NetScreen-IDP 10/100/500/1000