Abhängig von Hersteller, Produkt, Konfiguration und Platzierung im Netz bieten solche IPS verschiedene Varianten, auf verdächtigen Netzwerkverkehr zu reagieren. Die Methode, ein IPS passiv im Netz zu platzieren, ist dem Einsatz eines klassischen, passiven IDS sehr ähnlich. Eine typische automatische Reaktion im Angriffsfall ist hier beispielsweise die Neukonfiguration einer Firewall, um so nachfolgende Pakete von einem vermeintlichen oder realen Angreifer zu blockieren. Eine andere Form der Abwehr besteht darin, feindliche Streams aktiv durch TCP-RST-Pakete zu beenden. Der offensichtliche Nachteil eines passiv eingesetzten IPS ist, dass Reaktionen immer erst nach einem durchgeführten Angriff stattfinden – die feindlichen Pakete sind unter Umständen bereits zum Ziel-Host gelangt.