Système de détection d'intrusion (IDS) : L'appareil sécurité pour surveillance réseau par signatures
L'appareil qui surveille le trafic réseau pour activités illégales basé sur signatures d'attaque connues est un Système de Détection d'Intrusion (IDS).
Comment fonctionne l'IDS
- Capture trafic : Prise réseau, port SPAN, ou déploiement en ligne
- Correspondance signatures : Compare paquets/flux contre base de données motifs d'attaque connus (règles Snort, Emerging Threats, flux vendeurs)
- Génération alertes : Sur correspondance → journalise, notifie (SIEM, email, SNMP), optionnellement bloque (si IPS)
Deux modèles de déploiement
| Type | Basé hôte (HIDS) | Basé réseau (NIDS) |
|---|---|---|
| Portée | Hôte unique (serveur, poste) | Segment réseau / LAN complet |
| Visibilité | Processus, fichier, log, syscall | Paquet/flux |
| Exemples | OSSEC, Wazuh, Tripwire, Auditd | Snort, Suricata, Zeek, Cisco FirePOWER |
| Trafic chiffré | Voit déchiffré (vue hôte) | Aveugle sans inspection TLS |
IDS vs IPS
- IDS : Détecte + Alerte (passif). « Voir quelque chose, le dire »
- IPS (Système Prévention Intrusion) : Détecte + Bloque (en ligne). « Voir quelque chose, l'arrêter »
- Moderne : Souvent combinés IDS/IPS ou NIPS (Network IPS)
Limites
- Signatures seulement : Rate attaques zero-day/inconnues
- Faux positifs : Trafic légitime correspond signature → fatigue alertes
- Évasion : Fragmentation, chiffrement, polymorphisme contournent signatures
- Pas prévention (IDS) : Alerte après coup
Évolution moderne
NDR (Network Detection & Response) / XDR : Ajoute analytique comportementale, détection anomalie ML, chasse menaces, réponse automatisée — allant au-delà pure correspondance signatures.