Qu'est-ce qu'un IDS/IPS ?

La détection et la prévention des intrusions (IDS/IPS) associent deux fonctions de sécurité réseau qui analysent le trafic à la recherche de signatures d'attaques connues et de comportements anormaux. Un système de détection d'intrusion (IDS) signale toute correspondance afin qu'elle soit examinée ; un système de prévention d'intrusion (IPS) intervient immédiatement : il rejette les paquets, réinitialise les sessions ou bloque la source avant qu'une attaque ne parvienne à ses fins.

Points clés à retenir

• L'IDS détecte les menaces et envoie des alertes ; l'IPS les détecte et les bloque en temps réel.
• La détection basée sur les signatures identifie les attaques connues ; la détection des anomalies signale les nouvelles.
• Une terminologie commune – CVE, CVSS, niveau de confiance – permet d'attribuer un score à chaque correspondance de signature.
• Versa La fonctionnalité VOS s'applique via un mécanisme de profil de vulnérabilité intégré à la politique NGFW.
• Une simple opération – « alert » (alerte) ou « drop/reject/reset » (bloquer/refuser/réinitialiser) – permet de passer du mode IDS au mode IPS.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · IDS/IPS et Versa · FAQ

Pourquoi les systèmes IDS/IPS sont-ils importants ?

Un pare-feu détermine les sessions à autoriser en fonction du port, de l'adresse et de l'application, mais ne se prononce pas sur le contenu d'une session autorisée. Les pirates exploitent cette faille en acheminant des exploits et des logiciels malveillants au sein de sessions qu'un pare-feu ne bloquerait jamais. Les systèmes IDS/IPS comblent cette lacune en inspectant la charge utile, en la comparant à des modèles d'attaque connus et à un référentiel de comportements normaux, puis en émettant une alerte en cas de correspondance ou en bloquant purement et simplement la session.

Il est important d’associer la détection à la prévention, car chacune compense les lacunes de l’autre. La détection seule – un IDS surveillant une copie en miroir du trafic – ne risque jamais de devenir un point de défaillance, mais ne peut pas arrêter une attaque en cours. La prévention seule – un IPS installé en ligne – bloque instantanément, mais une panne du capteur peut entraîner la perte de la voie de circulation du trafic. L'utilisation conjointe des deux, ajustée en fonction du niveau de confiance et de la gravité CVSS, permet aux équipes de bloquer automatiquement les menaces présentant un niveau de confiance élevé tout en acheminant les correspondances incertaines vers les analystes.

Qu'est-ce qu'un IDS/IPS ?

Le terme « IDS/IPS » désigne à la fois la détection et la prévention des intrusions (IDP) : une fonctionnalité qui analyse le trafic réseau à la recherche de vulnérabilités et d’activités anormales, puis les signale (IDS) ou les bloque (IPS). Deux techniques permettent d’effectuer cette analyse. La détection basée sur les signatures compare le trafic à une base de données de modèles d’attaques connus ; la détection des anomalies établit une référence du trafic normal et signale les écarts, permettant ainsi de détecter les attaques pour lesquelles aucune signature n’existe encore.

Chaque correspondance est évaluée selon une terminologie commune : un « vrai positif » correspond à une attaque réelle correctement détectée, un « faux positif » à un trafic inoffensif détecté à tort, et un « faux négatif » à une attaque qui passe inaperçue. Chaque résultat est associé à un identifiant CVE (son identifiant public) et à un score CVSS (son niveau de gravité), et chaque signature est accompagnée d'un indice de confiance indiquant dans quelle mesure elle permet de distinguer de manière fiable les attaques du bruit.

Types de systèmes IDS/IPS

Deux axes permettent de décrire le fonctionnement des systèmes IDS/IPS. La détection basée sur les signatures compare le trafic à une base de données de modèles d’attaques connus : elle est précise face aux menaces répertoriées, mais inefficace tant qu’aucune signature n’existe. La détection basée sur les anomalies, quant à elle, établit une référence du trafic normal et signale les écarts statistiques, ce qui permet de détecter les attaques « zero-day » et celles jamais observées auparavant, au prix d’un nombre plus élevé de faux positifs. La plupart des déploiements combinent ces deux approches.

Le deuxième axe concerne le mode de réponse : le mode « détection seule » (IDS) analyse une copie en miroir du trafic et se contente d’émettre des alertes, sans intervenir dans le chemin de transmission, de sorte qu’une défaillance du capteur ne perturbe jamais le trafic de production ; le mode « prévention » (IPS) s’insère en ligne et bloque immédiatement toute correspondance – en rejetant le paquet, en réinitialisant la session ou en refusant la connexion – au prix de s’intégrer lui-même dans le chemin du trafic.

IDS/IPS et Versa

Versa VOS propose des fonctionnalités IDS/IPS sous la forme d’une capacité de détection et de prévention des intrusions (IDP) au sein de ses services de gestion unifiée des menaces, disponibles à la fois sur les déploiements « Secure SD-WAN » et NGFW. Plutôt que d’utiliser des appliances distinctes, Versa met en œuvre ces deux fonctionnalités via un mécanisme unique de profil de vulnérabilité intégré à une règle de politique d’accès NGFW : l’action configurée définit le comportement – l’option « Alert » (Alerte) seule fonctionne comme un IDS, tandis que les options « Drop » (Rejeter), « Reject » (Refuser) ou « Reset » (Réinitialiser) agissent comme des mesures IPS.

Les administrateurs partent généralement d’un profil prédéfini : le profil recommandé « Versa », qui couvre une décennie de vulnérabilités CVSS 6 à 10, ou le profil « Versa Branch », plus léger et destiné aux succursales aux ressources limitées, mis à jour via les SPacks, puis y superposent des signatures personnalisées au format Snort. Director assure le suivi de la compilation des signatures ; Analytics met en évidence les menaces et les journaux IDP. Voir « Configurer la détection et la prévention des intrusions » ou « Configurer la détection et la prévention des intrusions (NGFW) ».

Questions fréquentes

Que signifient les sigles IDS et IPS ?

IDS/IPS sont les acronymes de « Intrusion Detection System » (système de détection d'intrusion) et « Intrusion Prevention System » (système de prévention d'intrusion) – regroupés sous le terme « détection et prévention d'intrusion » (IDP). Le volet IDS analyse le trafic et déclenche une alerte en cas de correspondance avec une signature ; le volet IPS analyse le trafic et bloque automatiquement toute menace correspondante, sans intervention d'un analyste.

Quelle est la différence entre un IDS et un IPS ?

Un système de détection d'intrusion (IDS) surveille une copie du trafic – provenant d'un port miroir ou d'un tap réseau – et signale toute activité suspecte sans interférer avec le flux. Un système de prévention d'intrusion (IPS) est placé en ligne et bloque automatiquement cette même activité : il rejette les paquets, réinitialise les connexions ou bloque la source.

Quelle est la différence entre la détection basée sur les signatures et celle basée sur les anomalies ?

La détection par signature compare le trafic à une base de données de modèles d'attaques connus, mise à jour régulièrement grâce à des packages tels que les SPacks d'Versa. La détection d'anomalies établit une base de référence du trafic normal et signale tout écart par rapport à celle-ci, ce qui permet de détecter de nouvelles attaques – y compris les attaques « zero-day » – pour lesquelles il n'existe pas encore de signature.

Que signifient les termes « CVE », « CVSS » et « confiance » dans une alerte IDS/IPS ?

Le CVE est l'identifiant public d'une vulnérabilité connue ; le CVSS évalue la gravité de cette vulnérabilité sur une échelle de 0 à 10. Le taux de confiance indique dans quelle mesure une signature permet de distinguer de manière fiable une attaque réelle d'un trafic inoffensif : des valeurs plus élevées réduisent les faux positifs, au prix toutefois de passer à côté de correspondances limites.

Comment « Versa » met-il en œuvre les systèmes IDS/IPS ?

Versa VOS intègre les systèmes IDS/IPS sous forme de profil de vulnérabilité au sein d'une règle de politique d'accès NGFW, fonctionnant de concert avec le pare-feu et l'identification des applications en un seul passage. L'action configurée – alerte, rejet, blocage ou réinitialisation – détermine si une règle donnée agit à des fins de détection ou de prévention.

En savoir plus sur les systèmes IDS/IPS

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux systèmes IDS/IPS, voici quelques liens qui pourraient vous intéresser.