Intrusion Detection System (IDS) : de quoi s’agit-il ?

Les Intrusion Detection Systems modernes peuvent être in­té­res­sants pour compléter les pare-feux tra­di­tion­nels. Ils analysent et sur­veil­lent des systèmes et des réseaux entiers en temps réel, détectent des vul­né­ra­bi­li­tés po­ten­tielles et les signalent im­mé­dia­te­ment à l’ad­mi­nis­tra­teur. En cas d’attaque, la défense pro­pre­ment dite est ensuite prise en charge par un autre logiciel.

Que cache un IDS (Intrusion Detection System) ?

Les systèmes de sécurité modernes pour les or­di­na­teurs et les réseaux sont de plus en plus avancés, mais les cy­be­rat­taques gagnent elles aussi en habileté et en so­phis­ti­ca­tion. Il est donc conseillé d’adopter dif­fé­rents mé­ca­nismes afin de protéger les in­fras­truc­tures les plus sensibles. À cet égard, un système de détection d’intrusion (ou IDS) peut être parfait pour venir compléter votre pare-feu. En effet, un tel système de détection permet de détecter les attaques et les dangers po­ten­tiels de manière précoce ; l’ad­mi­nis­tra­teur est alors informé im­mé­dia­te­ment, et il peut prendre les mesures qui s’imposent pour repousser l’attaque. Le système de détection d’intrusion peut aussi détecter les attaques qui ont déjà déjoué le pare-feu.

Toutefois, con­trai­re­ment à un système de pré­ven­tion d’intrusion, un IDS n’est pas en capacité de repousser de lui-même une attaque ; le système de détection d’intrusion se contente d’analyser l’ensemble des activités au sein d’un réseau et de comparer celles-ci à des modèles spéciaux. S’il détecte une action in­ha­bi­tuelle, le système alerte alors l’uti­li­sa­teur et lui donne des in­for­ma­tions précises sur le type d’attaque et sur les origines de celle-ci.

Quels sont les dif­fé­rents types d’Intrusion Detection Systems ?

Il existe trois types de systèmes de détection d’intrusion dif­fé­rents. Un système peut en effet être basé sur l’hôte (HIDS), passer par le réseau (NIDS) ou prendre une forme hybride qui combine les deux principes HIDS et NIDS.

HIDS : systèmes de détection d’intrusion basés sur l’hôte

Le système de détection d’intrusion basé sur l’hôte est la forme la plus ancienne de cette solution de sécurité. Dans cette con­fi­gu­ra­tion, l’IDS est di­rec­te­ment installé sur le système cor­res­pon­dant. Il analyse alors les données di­rec­te­ment aux niveaux du journal et du noyau, et il vérifie aussi d’autres fichiers système. Pour s’adapter à l’uti­li­sa­tion de postes de travail autonomes, le système de détection d’intrusion basé sur l’hôte utilise ce qu’il appelle des « agents de sur­veil­lance » chargés de pré­fil­trer le trafic de données et de com­mu­ni­quer les in­for­ma­tions ainsi obtenues au serveur central. Si cette approche est très précise et complète, elle n’est pas in­fail­lible et des attaques DoS et DDoS peuvent par exemple en venir à bout. L’uti­li­sa­tion de ce système de détection d’intrusion dépend en outre du système d’ex­ploi­ta­tion utilisé.

NIDS : systèmes de détection d’intrusion par le réseau

Un système de détection d’intrusion par le réseau se charge de scanner les paquets de données envoyés au sein d’un réseau, dans un sens comme dans l’autre. Il peut donc détecter et signaler ra­pi­de­ment la présence de tout modèle in­ha­bi­tuel ou différent. Dans un tel contexte, le volume de données envoyées peut cons­ti­tuer un problème. En effet, si ce volume dépasse les capacités du système de détection d’intrusion, il devient im­pos­sible de garantir une sur­veil­lance complète.

Intrusion Detection Systems hybrides

Aujourd’hui, les four­nis­seurs sont nombreux à proposer des systèmes de détection d’intrusion hybrides, qui associent les deux approches dont il est question ci-dessus. Un système de ce type est composé de capteurs basés sur l’hôte, de capteurs qui fonc­tion­nent par le réseau et d’un niveau de gestion per­met­tant de ras­sem­bler les résultats et de les analyser de manière détaillée. Toutes les opé­ra­tions de contrôle sont elles aussi ef­fec­tuées depuis ce niveau.

Uti­li­sa­tion et avantage d’un IDS

Un système de détection d’intrusion ne devrait jamais être considéré comme un élément pouvant remplacer un pare-feu ni utilisé comme tel. Il peut toutefois agir en tant que com­plé­ment in­té­res­sant, qui interagit avec le pare-feu et l’aide à mieux iden­ti­fier les dangers po­ten­tiels. Comme le système de détection d’intrusion permet même d’analyser la couche la plus élevée du modèle OSI, il contribue bien souvent à la détection de nouvelles sources de danger jusqu’alors in­vi­sibles, et ce, même si le pare-feu a déjà été franchi.

Comment fonc­tionne un Intrusion Detection System ?

Le modèle hybride cor­res­pond au type de système de détection d’intrusion le plus utilisé. Il in­ter­vient à la fois sur l’hôte et sur le réseau. Les in­for­ma­tions qu’il recueille sont analysées dans le système de gestion central. Trois com­po­sants dif­fé­rents sont alors utilisés.

Outil de sur­veil­lance des données

L’outil de sur­veil­lance des données s’occupe de collecter l’ensemble des données in­té­res­santes à l’aide de capteurs, puis de les filtrer en fonction de leur per­ti­nence. Ces données sont cons­ti­tuées d’in­for­ma­tions provenant du côté de l’hôte, comme les fichiers de journal et les in­for­ma­tions système, mais aussi de paquets de données envoyés par l’in­ter­mé­diaire du réseau. L’IDS recueille et trie notamment les adresses sources et les adresses de des­ti­na­tion, mais également d’autres pro­prié­tés im­por­tantes. Il existe à cet égard une condition es­sen­tielle : les données col­lec­tées doivent provenir d’une source fiable ou du système de détection d’intrusion lui-même. Celle-ci permet en effet de garantir que les données n’ont pas été ma­ni­pu­lées en amont.

Outil d’analyse

Le deuxième composant du système de détection d’intrusion est un outil d’analyse. Il évalue l’ensemble des données re­cueil­lies et pré­fil­trées ; pour ce faire, il fait appel à dif­fé­rents modèles. Il effectue cette analyse en temps réel ; dans certains cas, cela peut être synonyme de défis con­si­dé­rables pour le pro­ces­seur et la mémoire vive. Pour qu’une telle analyse soit réalisée ra­pi­de­ment et cor­rec­te­ment, les capacités associées doivent être suf­fi­santes. Pour ce faire, l’outil d’analyse a à sa dis­po­si­tion deux méthodes dif­fé­rentes.

• Détection des attaques : la détection des attaques (misuse detection en anglais) permet à l’outil d’analyse d’examiner les données re­cueil­lies pour tenter d’iden­ti­fier des modèles d’attaque déjà connus. Ces derniers sont en­re­gis­trés dans une base de données distincte, et mis à jour en per­ma­nence. Dans le cas d’une attaque avec une signature déjà en­re­gis­trée, il est donc possible de détecter celle-ci à temps. Toutefois, les attaques dont le système n’a pas encore con­nais­sance au moment où elles entrent en scène ne peuvent pas être détectées à l’aide de cet outil.
• Détection des anomalies : la détection des anomalies (anomaly detection en anglais) repose sur un principe de base : l’ob­ser­va­tion de l’ensemble du système. Si une ou plusieurs étapes de travail semblent être hors-normes, une anomalie est signalée ; c’est par exemple le cas lorsque l’uti­li­sa­tion du pro­ces­seur dépasse une certaine valeur définie ou que les accès à une page en par­ti­cu­lier aug­men­tent de façon in­ha­bi­tuelle. Le système de détection d’intrusion se charge également de vérifier la chro­no­lo­gie des dif­fé­rents éléments, toujours dans le but de détecter des modèles d’attaque inconnus. Attention : dans certains cas, les anomalies signalées peuvent être inof­fen­sives.

Outil d’alerte

Le troisième et dernier composant du système de détection d’intrusion consiste à donner l’alerte à pro­pre­ment parler. En cas de détection d’une attaque ou d’anomalies, le système en informe sans attendre l’ad­mi­nis­tra­teur. Une telle no­ti­fi­ca­tion peut se faire par email, par l’in­ter­mé­diaire d’une alarme locale ou à l’aide d’un message envoyé sur le smart­phone ou la tablette.

Quels sont les in­con­vé­nients d’un Intrusion Detection System ?

Un système de détection d’intrusion constitue un bon com­plé­ment dans l’ar­chi­tec­ture de sécurité, mais cette méthode peut aussi être à l’origine d’erreurs. Nous avons déjà mentionné ra­pi­de­ment certains in­con­vé­nients po­ten­tiels ci-dessus. En effet, les IDS basés sur l’hôte sont vul­né­rables face aux attaques DDoS, et les systèmes de détection d’intrusion par le réseau peuvent ra­pi­de­ment atteindre leurs limites au sein des grandes struc­tures de réseau, et donc passer à côté de certains paquets de données. Dans le même temps, la détection d’anomalies est souvent à l’origine de faux messages d’alarme, et ce, en fonction de la con­fi­gu­ra­tion. En outre, l’ensemble des IDS servent uni­que­ment à détecter les dangers. Si vous voulez vous défendre contre les attaques, vous devez utiliser un logiciel sup­plé­men­taire.

Intrusion Detection System : l’exemple de Snort

Snort compte parmi les systèmes de détection d’intrusion les plus connus et les plus po­pu­laires. Développé dès 1998 par Martin Roesch, cet outil de sécurité mul­ti­pla­te­forme et open source propose aux uti­li­sa­teurs des mesures de pré­ven­tion étendues en sa qualité de système de pré­ven­tion d’intrusion. Le programme est dis­po­nible en deux versions, l’une gratuite et l’autre payante ; celle-ci bénéficie par exemple de mises à jour plus rapides.