Qu'est-ce qu'un IPS ?

Un système de prévention des intrusions (IPS) est un dispositif de sécurité réseau, généralement déployé en ligne au niveau du périmètre du réseau, qui analyse le trafic à la recherche d'activités malveillantes ou anormales et les bloque automatiquement – en rejetant des paquets, en réinitialisant les connexions ou en bloquant les adresses IP sources – à l'aide de mécanismes de détection basés sur des signatures et sur les anomalies.

Points clés à retenir

• L'IPS bloque le trafic malveillant en temps réel ; l'IDS se contente de le détecter et d'émettre une alerte.
• La détection basée sur les signatures et celle basée sur les anomalies permettent, ensemble, de repérer les attaques connues et les nouvelles attaques.
• Le déploiement d'un système IPS à chaque point d'entrée et de sortie permet de bloquer les menaces au niveau du périmètre.
• VersaLe module IDP de [nom] applique des profils de vulnérabilité au sein des règles de politique d'accès du pare-feu de nouvelle génération (NGFW).
• Les profils prédéfinis couvrent un large éventail de menaces ; les profils personnalisés permettent d'ajouter des signatures au format Snort.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · IPS et Versa · FAQ

Pourquoi un IPS est-il important ?

Networks sont confrontés à un flux constant de tentatives d’exploitation visant des vulnérabilités connues ou récemment révélées – des failles que les attaquants exploitent pour voler des données, déployer des logiciels malveillants ou se déplacer latéralement une fois qu’ils ont pénétré dans le système. Un pare-feu qui se contente de vérifier les ports et les adresses ne peut pas détecter cela : une session peut être autorisée par la politique de sécurité tout en transportant un exploit dans sa charge utile. Un IPS comble cette lacune en inspectant le trafic lui-même, à la vitesse de la ligne, et en intervenant dès qu’il détecte une attaque.

Sur le plan opérationnel, la prévention diffère de la détection. Un IDS signale les activités suspectes pour un examen ultérieur ; un IPS, placé en ligne au niveau du périmètre, rejette le paquet, réinitialise la connexion ou bloque immédiatement la source – sans intervention humaine. Le déploiement d’un IPS à chaque point d’entrée et de sortie permet de bloquer aussi bien les exploits connus que les attaques « zero-day », tandis que les capteurs IDS situés à l’intérieur du pare-feu continuent d’offrir aux équipes une visibilité sur les activités ayant déjà franchi le périmètre.

Qu'est-ce qu'un IPS ?

Un IPS (système de prévention des intrusions) constitue le volet « action » de la détection et de la prévention des intrusions (IDP) : il analyse le trafic en temps réel par rapport à des profils de vulnérabilité et, en cas de correspondance, exécute une action configurée au lieu de se contenter de l'enregistrer dans un journal. Deux techniques permettent d'établir cette correspondance. La détection basée sur les signatures compare le trafic à une base de données de modèles d'attaques connus, mise à jour régulièrement dans les packs de sécurité. La détection d'anomalies, quant à elle, établit une référence du trafic normal et signale tout écart par rapport à celle-ci, permettant ainsi de détecter les attaques pour lesquelles il n'existe pas encore de signature.

D'un point de vue physique, un IPS est installé en ligne : le trafic transite par le dispositif, ce qui lui permet de bloquer un paquet avant sa transmission, mais fait également de ce dispositif un point de défaillance s'il tombe en panne. Un IDS, en revanche, analyse généralement une copie en miroir du trafic provenant d'un port « span » ou d'un « network tap », au prix de ne pouvoir que signaler les incidents plutôt que de les bloquer.

Types d'IPS

Les profils de vulnérabilité se répartissent en deux catégories. Les profils prédéfinis, gérés par l’équipe de recherche en sécurité de Versa, constituent la configuration par défaut : des profils généraux, tels que le « profil recommandé » ( Versa ) et le « profil de branche » ( Versa ), plus allégé, couvrent l’éventail le plus large de menaces notées selon le CVSS, aux côtés de profils ciblés pour Windows, Linux, Mac OS, les logiciels malveillants, les protocoles de contrôle industriel et les mouvements latéraux post-exploitation. Les profils personnalisés permettent à un administrateur d’importer ou de saisir manuellement des signatures au format Snort, pour les menaces qui n’ont pas encore été répertoriées dans la base de données d’un éditeur.

Les actions de réponse constituent un deuxième axe, configurable pour chaque règle : alerte uniquement, rejet du paquet, fermeture de la session, rejet ou réinitialisation côté client ou côté serveur. Cela permet d'ajuster le niveau d'application, allant d'une simple surveillance à un blocage total à mesure que la confiance dans une signature augmente, avec des exemptions disponibles pour le trafic connu comme fiable.

IPS & Versa

VersaLa fonctionnalité IDP fait partie de la gestion unifiée des menaces (VTM) de VOS ; elle est configurée sous forme de profil de vulnérabilité et appliquée au sein d’une règle de politique d’accès NGFW, de sorte que l’application de l’IPS s’effectue en parallèle du pare-feu et de l’identification des applications en un seul passage. Les administrateurs partent généralement d’un profil prédéfini – le profil recommandé « Versa » (16 Go de RAM minimum) ou le profil « Versa Branch » (8 Go de RAM), plus léger, destiné aux sites de moindre envergure – et peuvent y superposer des profils de signatures Snort personnalisés ou des règles de remplacement. Consultez la section « Configurer la détection et la prévention des intrusions (NGFW) » ou le guide de configuration classique.

Une fois déployé, « Versa Director » assure le suivi de l'état de compilation des signatures, tandis que « Versa Analytics » met en évidence les menaces bloquées, les journaux IDP et les captures de paquets à des fins d'analyse.

Questions fréquentes

Quelle est la différence entre un IDS et un IPS ?

Un système de détection d'intrusion (IDS) surveille une copie du trafic – provenant d'un port miroir ou d'un tap réseau – et signale toute activité suspecte sans interférer avec le flux. Un système de prévention d'intrusion (IPS), quant à lui, est placé en ligne et bloque automatiquement ces mêmes activités : il rejette les paquets, réinitialise les connexions ou bloque la source en temps réel.

Où faut-il placer un IPS dans le réseau ?

La mise en œuvre d'un système IPS doit intervenir à chaque point d'entrée et de sortie de l'entreprise, afin de bloquer les menaces avant même qu'elles ne pénètrent dans le réseau ou qu'elles n'en sortent. Les capteurs IDS situés à l'intérieur du pare-feu et au niveau des nœuds internes critiques permettent d'avoir une meilleure visibilité sur l'activité qui a déjà franchi le périmètre.

Quelle est la différence entre la détection basée sur les signatures et celle basée sur les anomalies ?

La détection basée sur les signatures compare le trafic à une base de données de modèles d'attaques connus, mise à jour régulièrement via des suites de sécurité. La détection d'anomalies, quant à elle, établit une référence du trafic normal et signale tout écart par rapport à celle-ci, ce qui lui permet de détecter de nouvelles attaques – y compris les attaques « zero-day » – qui ne sont pas encore décrites par une signature.

Un IPS peut-il bloquer les attaques « zero-day » ?

En partie. La détection basée sur les anomalies permet de signaler les exploits « zero-day » en identifiant le trafic qui s'écarte d'une référence apprise, même en l'absence de signature correspondante. La détection basée sur les signatures ne peut détecter un exploit « zero-day » tant qu'il n'existe pas de signature correspondante ; c'est pourquoi la plupart des déploiements combinent ces deux techniques.

Un IPS remplace-t-il un pare-feu ?

Non. Un pare-feu contrôle les sessions autorisées en fonction des zones, des adresses et des applications ; un IPS inspecte la charge utile des sessions autorisées à la recherche d'exploits et d'anomalies. Dans l'architecture d'Versa, l'IPS est un profil de vulnérabilité appliqué au sein d'une politique NGFW, qui fonctionne en complément du pare-feu plutôt qu'à sa place.

En savoir plus sur IPS

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à l'IPS, voici quelques liens qui pourraient vous intéresser.