Aller au contenu

Configuration et gestion d'un IDS/IPS

1. Objectif du cours

Expliquer le rôle des signatures dans les IDS/IPS et détailler la gestion des mises à jour, la surveillance des alertes, la journalisation et l'analyse post‑incident pour maintenir l'efficacité de la protection réseau.

2. Notions et définitions essentielles

  • Signature (numérique) : procédé cryptographique attestant l'authenticité de l'émetteur et l'intégrité d'un message (clé privée/clé publique, hash).
  • IDS (Intrusion Detection System) : système de détection qui analyse le trafic et génère des alertes.
  • IPS (Intrusion Prevention System) : système de prévention qui peut bloquer/rejeter des paquets en réponse à une menace.
  • Fichier de logs / journalisation : enregistrement des événements et activités du réseau.
  • SIEM : outil de collecte, corrélation et analyse des logs pour produire rapports et alertes.
  • Analyse post‑mortem : bilan effectué après un incident pour corriger et éviter la récurrence.

3. Fonctionnement et principes

  • Les IDS/IPS s'appuient sur une base de signatures (règles) comparées au trafic réseau ; une signature est généralement dérivée d'un hash et liée à l'émetteur via cryptographie asymétrique.
  • Une signature valide permet d'authentifier l'émetteur (décryptage avec clé publique) et de vérifier l'intégrité (comparaison des hash).
  • Les signatures doivent être régulièrement mises à jour : un catalogue obsolète rend IDS/IPS inefficaces face aux nouvelles menaces.
  • Distinction opérationnelle : IDS = détection (alerte), IPS = prévention (actions sur paquets). Les IPS peuvent nécessiter validation manuelle selon la configuration.
  • Les logs centralisés permettent de reconstituer l'historique, d'alimenter un SIEM et de produire des rapports exploitables pour conformité et analyse.

4. Commandes et manipulations

Procédure d'installation basique de Suricata (extrait du cours) : - tar xzvf suricata-6.0.0.tar.gz ; cd suricata-6.0.0 ; ./configure ; make ; make install
- Rôle : décompresser, préparer, compiler et installer Suricata (installation indiquée dans /usr/local/bin/). Autres manipulations évoquées : - Consulter le README.md du paquet pour instructions d'installation et configuration. - suricata-update : commande pour mettre à jour les règles/signatures de Suricata. (si mises à jour automatiques non activées, ajout manuel de signatures via la documentation de la solution)

5. Sécurité et bonnes pratiques

  • Activer les mises à jour automatiques des signatures mais vérifier manuellement leur application à la fréquence recommandée.
  • Centraliser et sécuriser la conservation des logs ; éviter d'y stocker des informations sensibles (ex. mots de passe).
  • Tester régulièrement les notifications et les seuils d'alerte (simulations d'attaque) pour valider le comportement IDS/IPS.
  • Prévenir et gérer les faux positifs : configurer les niveaux d'alerte, vérifier les actions automatiques d'un IPS avant blocage massif.
  • Documenter et enregistrer toute modification de règles et actions prises après une alerte (pour réutilisation en cas de récidive).

6. Points essentiels à retenir pour le TSSR

  • Une signature numérique assure authentification et intégrité via hash et cryptographie asymétrique.
  • IDS détecte et notifie ; IPS peut agir (rejeter/filtrer) — bien configurer pour éviter faux positifs.
  • Maintenir la base de signatures à jour (automatique + vérification manuelle).
  • Centraliser les logs et utiliser un SIEM pour corrélation, analyse et rapports.
  • Définir seuils d'alerte et niveaux de gravité (ex. Niveau 1 critique → intervention urgente).
  • Tester notifications et simuler attaques pour valider règles et seuils.
  • Enregistrer actions prises après une alerte pour enrichir les règles (récidive).
  • Faire une analyse post‑mortem après incident pour mesures correctives et amélioration continue.
  • Examples de solutions citées : Suricata, Snort, ManageEngine EventLog Analyzer.
  • Respecter conformité (référentiel CIS : niveau 1 fondamental, niveau 2 recommandation).

7. Tableau récapitulatif

Élément IDS IPS
Rôle principal Détection et alerte Prévention et blocage
Action sur paquets Non (génère alerte) Oui (rejette/filtre)
Validation requise Analyse post‑alerte Parfois validation manuelle selon règle
Utilisation des logs Alimentent détection Journalise actions prises
Risque lié Faux négatifs/positifs Blocage involontaire (faux positifs)

8. Vérifications pratiques

  • Vérifier que les mises à jour de signatures ont bien été appliquées (contrôle manuel de la fréquence).
  • Lancer un test d'attaque contrôlé pour confirmer qu'une signature ajoutée bloque/alerte comme attendu.
  • Consulter les logs centralisés pour confirmer l'enregistrement d'événements (IP, date/heure, détails de fichiers échangés).
  • Vérifier dans l'interface (tableau de bord) les notifications envoyées aux utilisateurs configurés.
  • Contrôler les actions prises par l'IPS après une alerte et enregistrer ces actions dans les règles si validées.

9. Flashcards Anki

Qu'est‑ce qu'une signature en sécurité informatique ? :: Un processus cryptographique vérifiant l'authentification de l'émetteur et l'intégrité d'un message. Quels sont les deux objectifs vérifiés par une signature numérique ? :: Authentification de l'émetteur et contrôle de l'intégrité du message. Quelle différence fondamentale entre IDS et IPS ? :: IDS détecte et alerte ; IPS agit en prévention en rejetant/filtrant des paquets. Pourquoi maintenir la base de signatures à jour ? :: Pour que IDS/IPS détectent et bloquent les nouvelles menaces répertoriées. Que fait la commande suricata-update ? :: Met à jour l'ensemble des règles/signatures de Suricata. Où l'installation de Suricata est‑elle indiquée après make install dans le cours ? :: /usr/local/bin/ Pourquoi centraliser les fichiers de logs ? :: Pour retracer l'ensemble des événements dans un seul emplacement et faciliter l'analyse. Quand doit‑on effectuer une analyse post‑mortem ? :: Après un incident (une fois réparé). Que recommandent les bonnes pratiques vis‑à‑vis des mises à jour automatiques ? :: Activer les mises à jour automatiques et vérifier manuellement leur exécution. Donnez un exemple d'outil de gestion des journaux cité dans le cours. :: ManageEngine EventLog Analyzer.