Fondamentaux de la détection et prévention d'intrusion¶

1. Objectif du cours¶

Comprendre les enjeux et principes de la détection/prévention d'intrusion (IDS/IPS) et savoir distinguer les principales familles de solutions (NIDS/HIDS, NIPS/HIPS). Acquérir les notions nécessaires pour concevoir et déployer une architecture adaptée à un contexte d'entreprise.

2. Notions et définitions essentielles¶

IDS (Intrusion Detection System) : système passif qui observe et alerte sans bloquer.
IPS (Intrusion Prevention System) : système actif positionné inline qui bloque automatiquement des menaces.
NIDS / NIPS : solutions réseau (analyse du trafic aux points de convergence).
HIDS / HIPS : solutions hôte (surveillance ou prévention locale sur chaque machine).
IoC (Indicator of Compromise) : preuves forensiques (IP suspecte, hash, nom de domaine, comportement anormal).
UEBA : analyse comportementale des utilisateurs (User and Entity Behavior Analytics).
Dwell time : durée pendant laquelle un attaquant reste présent sans être détecté.
MTTD / MTTR : Mean Time To Detection (temps avant détection) et Mean Time To Response (temps de réponse).

3. Fonctionnement et principes¶

Cycle de détection : collecte (logs, trafic, événements), analyse (règles, ML), détection (signatures ou anomalies), alerte (notification et déclenchement de réponse). Fonctionne en boucle et s'améliore avec le retour d'expérience.
Approches de détection :
Signature-based : détection précise d'attaques connues via bases de règles (Snort, Suricata, Emerging Threats). Faible taux de faux positifs, ne détecte pas les techniques inédites.
Anomaly-based : établit une baseline comportementale et signale les écarts (utile pour zero‑day), mais génère souvent plus de faux positifs et nécessite une phase d'apprentissage.
Stratégie hybride : combiner signatures + analyse comportementale pour optimiser détection et limiter le dwell time.
Complémentarité NIDS / HIDS : NIDS offre visibilité réseau centralisée (mais limité par le chiffrement), HIDS complète par la visibilité hôte (processus, fichiers, élévation de privilèges), utile contre living off the land et attaques post‑compromission.
Contraintes techniques : montée du chiffrement HTTPS limite l'analyse de contenu par NIDS → recours aux métadonnées et corrélation avec logs applicatifs/EDR/SIEM.
Intégration opérationnelle : SOC, SIEM, SOAR et EDR sont nécessaires pour corréler alertes, automatiser réponses et réduire MTTD/MTTR.

4. Commandes et manipulations¶

Non abordé dans ce cours.

5. Sécurité et bonnes pratiques¶

Déploiement progressif des IPS : phase d'observation/apprentissage (detection-only) avant activation des blocages automatiques.
Tests en préproduction et mesure de l'impact : dimensionner les agents HIDS pour éviter dégradation CPU/mémoire et tester les règles.
Haute disponibilité pour NIPS (HA) afin d'éviter point de défaillance unique.
Gestion rigoureuse des listes blanches (whitelists) : maintien et audits réguliers pour éviter failles ou interruptions.
Gouvernance centralisée des politiques (orchestration, RBAC) pour cohérence NIPS/HIPS et éviter conflits de règles.
Intégration SIEM/SOAR et standardisation des formats (ex. CEF, STIX/TAXII) pour corrélation d'IoC et automatisation des réponses.
Impliquer les équipes métier : périodes d'apprentissage, validation des règles et référent cybersécurité métier pour escalades rapides.

6. Points essentiels à retenir pour le TSSR¶

IDS = observer/alerter (pas d'interruption); IPS = bloquer inline (action immédiate).
NIDS surveille trafic réseau (mode miroir); HIDS surveille événements locaux (processus, fichiers).
Signature-based = précision faible faux positifs ; Anomaly-based = détecte zero-day mais faux positifs élevés.
Stratégie recommandée : hybride + déploiement progressif (observation → tuning → blocage).
Chiffrement HTTPS réduit visibilité NIDS ; corrélation avec logs applicatifs/EDR/SIEM est indispensable.
Living off the land (PowerShell, WMI, PsExec) est un mode d'attaque fréquent et difficile à détecter sans HIDS/UEBA.
KPI critiques : réduire MTTD (objectif cité <24 h) et MTTR (objectif cité <4 h) pour limiter l'impact.
Phase d'apprentissage (ex. 30 jours) minimise faux positifs avant activation d'un IPS.
Gouvernance et orchestration centralisées évitent incohérences et interruptions métier.
ROI argumentable : coût d'un incident moyen (chiffré dans le cours) justifie l'investissement sur la détection/prévention.

7. Tableau récapitulatif¶

Élément	Rôle principal	Avantage	Limitation
IDS	Observer et alerter	Pas d'impact sur flux	Réaction humaine → latence
IPS	Bloquer en temps réel	Réduit MTTD/MTTR	Risque de faux positifs perturbateurs
NIDS	Analyse trafic réseau	Visibilité centralisée	Moins efficace sur trafic chiffré
HIDS	Surveillance hôte	Détection post‑compromission	Consommation ressources, sécurisation des agents
Signature	Détection précise	Faible faux positifs	Ne détecte pas zero‑day
Anomalie	Baseline comportementale	Détecte inédit	Phase apprentissage, faux positifs élevés

8. Vérifications pratiques¶

Vérifier que les sondes NIDS reçoivent le trafic en mode miroir aux points choisis.
Confirmer l'installation et la supervision des agents HIDS sur serveurs critiques et mesurer leur impact ressourcé lors de tests de charge.
Valider la phase « detection-only » de l'IPS : génération d'alertes sans blocage et tuning des règles.
S'assurer de la centralisation des logs dans le SIEM et de la corrélation entre sources (IDS/HIDS, pare‑feu, AD).
Suivre les KPI (MTTD, MTTR, taux de faux positifs) via tableaux de bord temps réel pour mesurer efficacité.

9. Flashcards Anki¶

Qu'est‑ce qu'un IDS ? :: Système passif qui surveille l'activité réseau ou système et génère des alertes sans bloquer. Qu'est‑ce qu'un IPS ? :: Système actif positionné inline qui analyse le trafic en temps réel et peut bloquer automatiquement des menaces. Quelle est la différence principale entre NIDS et HIDS ? :: NIDS analyse le trafic réseau en mode miroir ; HIDS surveille les événements locaux sur chaque machine. Quel avantage principal offre la détection par signatures ? :: Grande précision avec peu de faux positifs pour les menaces connues. Quel avantage principal offre la détection par anomalies ? :: Capacité à détecter des attaques zero‑day en identifiant les écarts à la baseline. Que désigne IoC ? :: Indicateur de compromission : preuve forensique (IP, hash, domaine, comportement anormal). Que signifie MTTD ? :: Mean Time To Detection : temps entre le début d'une attaque et sa détection. Quel ordre de grandeur du MTTD est mentionné dans le cours ? :: Environ 6 mois (≈194–204 jours) selon les études citées. Qu'est‑ce que le "living off the land" ? :: Technique d'attaque exploitant des outils système légitimes (PowerShell, WMI, PsExec) pour rester discret. Quelle approche est recommandée pour déployer un IPS en production ? :: Déploiement progressif : phase d'observation/apprentissage puis activation graduelle des blocages.