Introduction aux IDS/IPS¶
1. Objectif du cours¶
Introduire les notions d'IDS (systèmes de détection d'intrusions) et d'IPS (systèmes de prévention d'intrusions), leurs fonctions et leur rôle dans la protection des réseaux. Savoir différencier leurs avantages, limites et types principaux.
2. Notions et définitions essentielles¶
- IDS : Système de détection d'intrusion — analyse le trafic pour repérer traces et tentatives d'intrusion, alerte et enregistre les événements.
- IPS : Système de prévention d'intrusion — placé entre l'extérieur et le réseau, détecte et peut bloquer activement les paquets dangereux.
- UTM : Unified Treat Management — solution combinant fonctions IDS/IPS et autres (antivirus, antispam, pare-feu…).
- CIS : Critères du centre pour la Sécurité Internet — référentiel de sécurité en 2 niveaux (Niveau 1 : exigences fondamentales ; Niveau 2 : préconisations).
- Méthodes de détection : signatures, anomalies, protocoles dynamiques (énumérées comme familles de détection).
3. Fonctionnement et principes¶
- Surveillance et détection : IDS/IPS scrutent le trafic, comparent paquets à des bases de menaces, et enregistrent les événements détectés.
- Différence de rôle : IDS est essentiellement passif (détection/alerte/enregistrement). IPS agit de façon active (détection + blocage/actions correctives).
- Positionnement : IPS est placé au niveau du pare-feu (interception du trafic entrant) ; IDS se situe en périphérie du réseau (collecte et enregistrement).
- Types d'IPS : NIPS (réseau), NBA (analyse comportementale du réseau), HIPS (hôte), WIPS (sans fil) — chacun surveille et réagit selon son périmètre.
- Automatisation et apprentissage : ces systèmes peuvent automatiser certaines interventions et se mettre à jour pour suivre l'évolution des menaces.
- Fonctions clés communes : identification, signalement, enregistrement ; fonctions spécifiques IPS : blocage, actions correctives (renforcement pare-feu, nettoyage, blocage d'IP).
4. Commandes et manipulations¶
Non abordé dans ce cours
5. Sécurité et bonnes pratiques¶
- Prévoir une intervention humaine après détection : il est recommandé qu'un administrateur vérifie et confirme les actions pour s'assurer de la résolution.
- Configuration selon la politique interne : paramétrer IDS/IPS pour respecter les politiques de confidentialité et de sécurité de l'entreprise.
- Maintenir les mécanismes de détection à jour : les systèmes s'adaptent en se mettant à jour ; garder les signatures/baes à jour est implicite pour l'efficacité.
- Utiliser IDS et IPS de façon complémentaire lorsque possible pour une couverture complète, en tenant compte du budget et des objectifs.
6. Points essentiels à retenir pour le TSSR¶
- IDS = détection passive (alerte + enregistrement) ; IPS = prévention active (détection + blocage/actions).
- Positionnement réseau : IDS en périphérie, IPS au niveau du pare-feu.
- Méthodes de détection principales : signatures, anomalies, (et protocoles dynamiques mentionnés).
- Types d'IPS : NIPS (réseau), NBA (comportement réseau), HIPS (hôte), WIPS (sans fil).
- UTM regroupe IDS/IPS et autres protections (antivirus, antispam, pare-feu).
- CIS = référentiel de sécurité en 2 niveaux, utile pour la conformité.
- Limites des IPS : fausses alertes (blocage d'activités légitimes), détection manquante si la menace n'est pas référencée, possibilité d'être détectable par des attaquants.
- Impact sur performances : IDS n'affecte pas le réseau ; IPS peut réduire légèrement les performances en analysant le trafic.
- Après action IPS, il est conseillé d'effectuer nettoyage et renforcement (pare-feu, blocage d'IP).
- Les deux systèmes génèrent des logs et alertes exploitables pour l'analyse post-incident.
7. Tableau récapitulatif¶
| Critère | IDS | IPS |
|---|---|---|
| Rôle principal | Détection, alerte, enregistrement | Détection + actions (blocage, correction) |
| Positionnement | Périphérie du réseau | Au niveau du pare-feu / interception trafic |
| Impact performance | Aucun significatif | Peut diminuer les performances (analyse active) |
| Capacité d'action | Notification seule | Peut terminer sessions, bloquer IP, modifier pare-feu |
| Détection privilégiée | Signatures, anomalies | Signatures + accent sur vulnérabilités et actions correctives |
8. Vérifications pratiques¶
- Réception d'une alerte automatique par l'administrateur après détection.
- Présence de l'événement enregistré dans les logs (enregistrement d'activité malveillante).
- Pour un IPS : constat qu'une adresse IP identifiée a été bloquée et ne peut plus accéder au réseau.
- Observation de la clôture d'une session TCP (ex. NIPS) lorsque l'IPS a interrompu la communication.
- Vérification des actions appliquées au pare-feu (règle ajoutée ou modifiée suite à l'intervention IPS).
9. Flashcards Anki¶
Que signifie IDS ? :: Système de détection d'intrusion Que signifie IPS ? :: Système de prévention d'intrusion Que veut dire UTM dans le document ? :: Unified Treat Management Combien de niveaux proposent les critères CIS ? :: 2 Où est positionné typiquement un IPS ? :: Au niveau du pare-feu Où est positionné typiquement un IDS ? :: À la périphérie du réseau Nommer les 4 types d'IPS listés. :: NIPS, NBA, HIPS, WIPS Un IDS peut-il bloquer activement le trafic ? :: Non, il détecte et alerte uniquement Quel risque d'un IPS mal réglé est mentionné ? :: Bloquer des activités légitimes (fausses alertes) Quel rôle joue la NBA ? :: Analyse du comportement du réseau pour repérer flux anormaux (DDoS, malwares, violations)