Qu'est-ce qu'un IDS ?

Un système de détection d'intrusion (IDS) est un dispositif de sécurité réseau qui analyse une copie du trafic réseau – généralement fournie par le port miroir d'un commutateur, un concentrateur ou une prise de surveillance réseau – afin de détecter des signes de vulnérabilités et d'activités inappropriées ou anormales, et qui déclenche une alerte en cas de correspondance sans interférer avec le trafic lui-même.

Points clés à retenir

• Un IDS détecte les menaces et émet des alertes ; il ne les bloque pas, contrairement à un IPS.
• Déployé de manière passive via un port miroir, un « network tap » ou un concentrateur – jamais en ligne.
• La détection basée sur les signatures et celle basée sur les anomalies permettent, ensemble, de repérer les attaques connues et les nouvelles attaques.
• Une défaillance d'un capteur IDS n'entraîne jamais la coupure du trafic de production.
• VersaLe module IDP de […] associe la visibilité offerte par l’IDS à l’application des règles de l’IPS en un seul passage.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · IDS et Versa · FAQ

Pourquoi un système de détection d'intrusion (IDS) est-il important ?

Un pare-feu détermine les sessions à autoriser en fonction du port, de l’adresse et de l’application ; il ne se prononce pas sur le contenu d’une session autorisée. Un attaquant qui dissimule un exploit au sein d’un trafic d’apparence légitime parvient à passer inaperçu, à moins qu’un système n’inspecte la charge utile. Un IDS comble cette lacune : il surveille une copie du trafic et signale toute activité correspondant à un modèle d’attaque connu ou s’écartant de la ligne de base.

Comme un IDS analyse une copie en miroir plutôt que d’être déployé en ligne, il ne constitue jamais un point de défaillance : si le capteur tombe en panne, le trafic continue de circuler. Cette configuration rend également son placement en interne pratique : les capteurs situés à l’intérieur du pare-feu et au niveau des nœuds critiques détectent l’activité qui a déjà franchi le périmètre, précisément là où les mouvements latéraux apparaissent pour la première fois. Un IDS se contente toutefois d’émettre des alertes ; pour bloquer le trafic, il faut encore un dispositif de contrôle en ligne associé, tel qu’un IPS.

Qu'est-ce qu'un IDS ?

Un système de détection d'intrusion (IDS) correspond à la composante « détection » du système de détection et de prévention des intrusions (IDP) : il analyse le trafic et émet une alerte en cas de correspondance, sans pour autant intervenir. Il est généralement connecté au port miroir d'un commutateur, à un concentrateur ou à une prise réseau ; il est plus rarement placé en ligne, ce qui le prive de son avantage en matière de sécurité intégrée.

Deux techniques permettent cette identification. La détection basée sur les signatures compare le trafic à une base de données de modèles d’attaques connus. La détection d’anomalies, quant à elle, établit une référence du trafic normal et signale les écarts par rapport à celle-ci, permettant ainsi de détecter de nouvelles attaques qui ne sont pas encore décrites par une signature. Les alertes utilisent un vocabulaire standard : un « vrai positif » correspond à une attaque réelle correctement signalée, un « faux positif » à un trafic inoffensif signalé à tort, et un « faux négatif » à une attaque qui passe inaperçue – chacun étant noté en fonction de son identifiant CVE (identifiant de vulnérabilité) et de son score CVSS (gravité).

Types de systèmes de détection d'intrusion (IDS)

Le champ d’application constitue l’axe principal. Un IDS basé sur le réseau (NIDS) surveille l’ensemble d’un segment à partir d’un point stratégique – un port en miroir, un concentrateur ou un tap – en analysant chaque session qui le traverse. Un IDS basé sur l’hôte (HIDS), quant à lui, fonctionne comme un agent sur un seul terminal, surveillant ses appels système, ses journaux et les modifications d’intégrité des fichiers – une profondeur d’analyse qu’un NIDS à l’échelle du segment ne peut offrir. Les entreprises exploitent généralement les deux systèmes conjointement.

L'emplacement constitue un deuxième axe. Un système de détection d'intrusion (IDS) situé au niveau du périmètre surveille le trafic entrant et sortant de l'entreprise ; des capteurs placés à l'intérieur du pare-feu et au niveau des nœuds critiques apportent une visibilité supplémentaire sur l'activité qui a déjà franchi ce périmètre – notamment le trafic de reconnaissance et celui provenant d'hôtes compromis –, que ne permettrait pas une surveillance limitée au périmètre. Les déploiements aboutis combinent ces deux types d'emplacement.

IDS & Versa

Versa fournit un système de détection d’intrusion (IDS) dans le cadre du module de détection et de prévention des intrusions (IDP) de VOS, qui fait partie des fonctionnalités de gestion unifiée des menaces (UTM) d’ Secure SD-WAN. Plutôt que d’utiliser des appliances IDS et IPS distinctes, Versa met en œuvre ces deux fonctions via un mécanisme de profil de vulnérabilité intégré à une règle de politique NGFW : l’action configurée définit le comportement – l’option « Alerte » seule fonctionne comme un IDS ; les options « Drop », « Reject » ou « Reset » fonctionnent comme des mesures IPS.

Les administrateurs partent généralement d’un profil prédéfini — le profil recommandé « Versa » (16 Go de RAM) pour une couverture étendue, ou le profil « Versa Branch » (8 Go de RAM), plus léger, pour les succursales aux ressources limitées — mis à jour via des packs de sécurité (SPacks), puis y superposent des signatures personnalisées au format Snort. Director assure le suivi de la compilation des signatures ; Analytics met en évidence les menaces et les journaux IDP. Reportez-vous à la section « Configurer la détection et la prévention des intrusions (NGFW) » ou au guide classique pour connaître le déroulement des opérations.

Questions fréquentes

Quelle est la différence entre un IDS et un IPS ?

Un système de détection d'intrusion (IDS) surveille une copie du trafic – provenant d'un port miroir, d'un concentrateur ou d'un dispositif de dérivation – et signale toute activité suspecte sans intervenir sur le flux. Un système de prévention d'intrusion (IPS), quant à lui, s'insère en ligne et bloque automatiquement le trafic : il rejette les paquets, réinitialise les connexions ou bloque la source.

Où un système de détection d'intrusion (IDS) est-il déployé dans un réseau ?

Le plus souvent, ils sont connectés au port miroir d'un commutateur, reliés à un concentrateur ou alimentés par un « tap » réseau, ce qui leur permet de recevoir une copie du trafic sans se trouver sur le chemin de transmission. Les déploiements prévoient souvent l'ajout de capteurs à l'intérieur du pare-feu ainsi qu'au niveau des nœuds critiques.

Un système de détection d'intrusion (IDS) bloque-t-il le trafic malveillant ?

Non. Un système de détection d'intrusion (IDS) se limite à la détection : il analyse le trafic et émet une alerte lorsqu'il identifie une signature ou un écart par rapport au profil de trafic normal, mais il ne rejette jamais de paquet ni ne réinitialise de connexion. Le blocage nécessite l'intervention d'un analyste ou un dispositif de contrôle en ligne associé, tel qu'un système de prévention d'intrusion (IPS).

Un système de détection d'intrusion (IDS) peut-il provoquer une panne du réseau en cas de défaillance d'un capteur ?

Non, c'est voulu. Étant donné qu'un IDS analyse une copie miroir du trafic plutôt que d'être intégré au flux, le chemin de production n'est pas affecté en cas de panne du capteur. Un déploiement basé sur un commutateur maintient généralement une session « keepalive » entre le commutateur et le dispositif afin de se prémunir contre ce type de défaillance.

Que signifient les termes « CVE » et « CVSS » dans une alerte IDS ?

Le CVE (Common Vulnerabilities and Exposures) est un répertoire des failles de sécurité connues du grand public auxquelles correspondent les signatures d'un système de détection d'intrusion (IDS). Le CVSS (Common Vulnerability Scoring System) attribue un score à la gravité de ces failles. Les analystes utilisent ces deux outils conjointement pour hiérarchiser les alertes : celles qui doivent faire l'objet d'une enquête en priorité et celles qui peuvent attendre.

En savoir plus sur IDS

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux systèmes de détection d'intrusion (IDS), voici quelques liens qui pourraient vous intéresser.