Prévenir les intrusions

1. Objectif du cours

Présenter les stratégies, outils et bonnes pratiques permettant d'anticiper, détecter et bloquer les intrusions informatiques. Donner une vue synthétique des mécanismes (listes de blocage, signatures, honeypots, IDS/IPS) et du rôle du facteur humain.

2. Notions et définitions essentielles

• CVE : Common Vulnerabilities and Exposures — base de vulnérabilités à surveiller.
• Liste de blocage / liste noire : liste d'IP, domaines ou applications à refuser automatiquement.
• Signature personnalisée : règle spécifique créée pour détecter un comportement ou une attaque.
• Honeypot : leurre destiné à attirer et étudier les attaquants (haute/basse interaction).
• IDS (Intrusion Detection System) : système de détection d'intrusion qui surveille et alerte.
• IPS (Intrusion Prevention System) : système de prévention qui bloque activement des attaques.
• HIDS / NIDS / NNIDS : HIDS = détection basée hôte ; NIDS = détection réseau ; NNIDS = analyse de paquets destinés à un nœud.
• SIEM : collecte et corrélation des journaux pour analyse de sécurité.

3. Fonctionnement et principes

• Anticipation : veille CVE et menaces, identification rapide de vulnérabilités pour appliquer des contre-mesures avant exploitation.
• Empilement de défenses : combiner patching, listes de blocage, signatures, pare-feux, IDS/IPS et SIEM pour couvrir différents vecteurs et niveaux (defense-in-depth).
• Détection vs prévention : IDS alerte sur anomalies ou signatures connues ; IPS analyse paquets/conversations et prend des actions bloquantes en temps réel.
• Modes de détection IDS : reconnaissance de signature (comparaison aux schémas connus) et détection d'anomalies (écart par rapport au trafic habituel).
• Signatures et listes : les signatures détectent comportements précis, les listes de blocage empêchent des connexions connues malveillantes ; toutes deux nécessitent une maintenance régulière.
• Honeypots : utilisés pour collecter des informations et détecter des attaques précoces ; choix entre réalisme (haute interaction) et simplicité de gestion (basse interaction).
• Contraintes opérationnelles : l'IPS doit connaître protocoles, applications, architectures serveurs, analyser logs/sondes, fonctionner à haute vitesse, comprendre besoins client et supporter stateful inspection.

4. Commandes et manipulations

Non abordé dans ce cours

5. Sécurité et bonnes pratiques

• Politique mots de passe : mots de passe complexes, rotation (ex. tous les 3 mois), interdiction de réutilisation d'ancien mot de passe, usage du 2FA.
• Patching régulier : maintien à jour des applications (politique indiquée : une mise à jour par mois) et audits pour détecter CVE non patchées.
• Segmentation réseau : isolation des zones pour limiter la propagation d'une intrusion ; réfléchie par architectes et mise en œuvre par admins réseau.
• Sensibilisation : formations, simulations (phishing) et exercices pour transformer l'humain en ligne de défense.
• Surveillance continue : outils IDS/IPS/SIEM pour détecter comportements suspects et générer alertes automatiques.
• Maintenance des règles : mettre à jour signatures personnalisées et listes de blocage pour rester efficaces ; gérer tolérance aux faux positifs (notamment pour honeypots).

6. Points essentiels à retenir pour le TSSR

• L'anticipation (veille CVE) minimise le risque avant exploitation.
• Mots de passe complexes + 2FA et rotation régulière réduisent le risque lié à l'humain.
• Patching mensuel recommandé pour limiter les surfaces vulnérables.
• Segmentation du réseau empêche la propagation latérale des intrusions.
• Listes de blocage = listes noires ; elles s'intègrent aux pare-feux et doivent être mises à jour.
• Signatures personnalisées détectent comportements spécifiques et demandent une maintenance continue.
• Honeypots : haute interaction = réaliste mais complexe ; basse interaction = simple à gérer.
• IDS détecte (signatures/anomalies) ; IPS prévient et bloque activement ; un IPS doit réunir 6 fonctionnalités clés.
• Les HIDS analysent un hôte, les NIDS analysent le trafic réseau global.

7. Tableau récapitulatif

Élément	Rôle principal	Avantage	Contraintes
IDS	Détecter et alerter	Précision (signatures) / détection d'anomalies	Ne bloque pas automatiquement
IPS	Bloquer et prévenir	Action en temps réel contre menaces connues	Doit être très performant, risque d'impact sur dispo
Honeypot haute interaction	Leurrer et étudier attaquants	Collecte riche d'informations	Complexe à déployer et gérer
Honeypot basse interaction	Attirer superficiellement	Facile à gérer	Informations limitées

8. Vérifications pratiques

• Confirmer que la veille CVE est en place et documentée (journal de vulnérabilités).
• Vérifier le calendrier de patching (mise à jour mensuelle effective).
• Contrôler que la politique mots de passe impose complexité et rotation, et que le 2FA est activé.
• Valider la segmentation réseau par tests d'accès inter-zones (limitation de propagation).
• S'assurer que les listes de blocage sont actualisées et intégrées au pare-feu.
• Vérifier qu'un IDS génère des alertes pertinentes (signatures et anomalies) et que l'IPS bloque le trafic suspect sans dégrader les performances.
• Confirmer l'emplacement des honeypots (interne vs DMZ) et la tolérance aux faux positifs définie.

9. Flashcards Anki

Que signifie CVE ? :: Common Vulnerabilities and Exposures (base de vulnérabilités)
Que sont les listes de blocage aussi appelées ? :: Listes noires
Qu'est-ce qu'une signature personnalisée ? :: Une règle spécifique créée pour détecter des attaques ou comportements spécifiques
Quel est le rôle principal d'un IDS ? :: Contrôler l'activité d'un hôte ou d'un réseau pour détecter des intrusions et générer des alertes
Combien de types de détection comporte un IDS ? :: 2 (détection d'anomalie et reconnaissance de signature)
Quelle est la principale fonction d'un IPS ? :: Bloquer le trafic suspect et prendre des mesures préventives
Combien de fonctionnalités essentielles doit regrouper un produit IPS ? :: 6
Quelle fréquence de mise à jour des applications est généralement recommandée ? :: Une mise à jour par mois
Quelle différence majeure entre honeypot haute et basse interaction ? :: Haute interaction = très réaliste et complexe à déployer ; basse interaction = simule des services et est simple à gérer
Quelle technique les firewalls utilisent-ils comme première ligne de défense ? :: Filtrage des paquets