IPS 的工作通常分为检测、分析和响应三个阶段，检测网络流量，分析其是否符合规则库中的攻击特征，随后对确认的攻击进行实时响应。