Wadą jest uzależnienie połączenia badanej maszyny lub segmentu sieci od wydajności kart sieciowych, systemu operacyjnego oraz oprogramowania. Podczas analizy w trybie bridged można także filtrować niepożądane połączenia na tej samej zasadzie, jak robi to prosty IPS. Tryb bridged umożliwia śledzenie aktywności pojedynczego urządzenia sieciowego bez utraty pakietów, gdyż ewentualna utrata byłaby przez kartę sieciową traktowana jak problemy z łączem. Barierą jest jednak wydajność tego rozwiązania.

Problem grubej rury

Dopóki ruch w segmencie sieci nie jest zbyt duży, dobra serwerowa karta sieciowa daje sobie z nim radę. Gdy jednak trzeba analizować strumień liczony w gigabitach na sekundę, nie każdy sprzęt będzie odpowiedni. Urządzenia IPS do tego celu wykorzystują dedykowane układy scalone, specjalne moduły Ethernet oraz programowalne bramki logiczne, których nie da się zaimplementować w typowym sprzęcie PC. Chociaż IPS jest przeznaczony do ochrony urządzeń sieciowych przed atakami, z powodzeniem może być wykorzystywany do analizy ruchu w poszukiwaniu oczekiwanej aktywności. Administratorzy tworzą wtedy regułę, która reaguje na oczekiwany ruch i wybierają opcję logowania aktywności. Jest to jedna z metod analizy ruchu, która sprawdza się dobrze w przypadku kontroli dużego strumienia danych - a z tym IPS-y radzą sobie bardzo dobrze. Mimo wszystko, nie są to rozwiązania, które będą rejestrować cały ruch, umożliwiając później jego zaawansowaną analizę offline.

Wyjściem jest wykorzystanie rozwiązań klasy appliance, takich jak Riverbed Cascade Shark, które ma specjalizowane karty sieciowe Ethernet 1 Gb/s i 10 Gb/s o wysokiej wydajności i potrafi w sposób ciągły przechwytywać strumienie o paśmie wielu gigabitów na sekundę.

Urządzenie to integruje się z oprogramowaniem Wireshark, umożliwiając dostarczenie do analizy wieloterabajtowego zapisu ruchu sieciowego i wykorzystuje przy tym filtrowanie pakietów na tych samych zasadach. Jest to potężne narzędzie, które potrafi wyłuskać z długiego archiwum interesujące połączenia i pomaga ekspertom analizować przyczyny problemów. Dalszym uzupełnieniem jest oprogramowanie Cascade Pilot, które uzupełnia analizę o wiele źródeł danych dostępnych zdalnie i lokalnie.