Cisco Cisco Integrated Services Routers Intrusion Prevention System Module Prospecto

 

 

Solution Overview 

All contents are Copyright © 1992–2008 Cisco Systems, Inc. All rights reserved. This document is Cisco Public Information. 

Page 2 of 10 

The Cisco IDS Network Module is a network-module version of the Cisco IPS 4200 Series 

appliances. Supported in Cisco 2811 Integrated Services Routers and later, the IDS network 

module runs Cisco IPS Version 5.0 and 6.0, but you can deploy it only in promiscuous mode. In 

promiscuous mode packets do not flow through the IPS; the sensor analyzes a copy of the 

monitored traffic rather than the actual forwarded packet. The advantage of operating in 

promiscuous mode is that the IPS does not affect the packet flow with the forwarded traffic. The 

disadvantage of operating in promiscuous mode, however, is that the IPS cannot stop malicious 

traffic from reaching its intended target for certain types of attacks, such as atomic attacks (single-

packet attacks). The response actions implemented by promiscuous IPS devices are postevent 

responses such as connection shunning, and they often require assistance from other networking 

devices (for example, routers and firewalls) to respond to an attack. Although such response 

actions can prevent some classes of attacks, for atomic attacks the single packet has the potential 

to reach the target system before the promiscuous-based sensor can apply an access-control-list 

(ACL) modification on a managed device (such as a firewall, switch, or router). 

The Cisco IPS AIM is an evolutionary enhancement to the concept of porting a Cisco appliance to 

a card for a router. The Cisco IPS AIM provides dedicated resources (CPU and DRAM) to run 

Cisco IPS 6.0, store signatures, and trigger alerts. In contrast to the Cisco IDM Network Module, 

the Cisco IPS AIM can function in both promiscuous mode and inline mode, as mentioned 

previously. Inline mode inspects data in the packet-switching path; it checks all packets passing 

through it for intrusions and if it detects one, alerts the network administrator. In addition, it can 

block the intrusion from going any further. Typically, an inline IPS is placed at the perimeter of the 

network, behind the firewall or integrated inside the firewall. 

Cisco IPS AIM has two main deployment scenarios (Figure 1): 

●

 

Cisco IPS AIM protecting the Internet-facing (untrusted) interface 

●

 

Cisco IPS AIM within the internal (trusted) network 

Figure 1.    Deployments