Intrusion Pre­ven­tion System (IPS) : de quoi s’agit-il ?

Un Intrusion Pre­ven­tion System peut être in­té­res­sant pour compléter un pare-feu. Il propose les mêmes fonctions de sur­veil­lance et d’analyse qu’un IDS, mais il peut aussi agir par lui-même pour repousser les menaces, con­trai­re­ment à ce dernier.

Que signifie l’acronyme « IPS » ?

La plupart des uti­li­sa­teurs con­si­dè­rent le pare-feu comme une méthode éprouvée per­met­tant de protéger leur système ou réseau contre les attaques ex­té­rieures. Dans de nombreux cas, un système de pré­ven­tion d’intrusion (ou IPS) approprié est re­com­mandé en com­plé­ment de ce mécanisme de pro­tec­tion. Le fonc­tion­ne­ment du système se décompose en deux étapes. En premier lieu, il remplit les fonctions d’un système de détection d’intrusion (ou IDS) et assure la sur­veil­lance, en fonction de son type, de l’hôte, du réseau ou de ces deux éléments, et ce, de manière à détecter ra­pi­de­ment toute action non autorisée. À cette fin, il crée des modèles qu’il compare au véritable trafic de données. La deuxième étape est dé­clen­chée dès lors que le système de pré­ven­tion d’intrusion détecte une menace. L’IPS peut alors prendre lui-même les mesures qui s’imposent pour la contrer.

Il s’agit là de sa prin­ci­pale dif­fé­rence avec un IDS, celui-ci se con­ten­tant d’avertir l’ad­mi­nis­tra­teur en cas de problème. Pour sa part, le système de pré­ven­tion d’intrusion in­ter­vient ac­ti­ve­ment et bloque les paquets de données suspects ou in­ter­rompt les con­nexions dan­ge­reuses. Il est tout d’abord important que le système de pré­ven­tion d’intrusion soit cor­rec­te­ment configuré, de manière à ce que tous les dangers soient écartés et à ce que le bon fonc­tion­ne­ment du flux de travail conforme ne soit pas entravé. Ensuite, l’IPS doit tra­vail­ler en étroite col­la­bo­ra­tion avec le pare-feu pour garantir la meilleure pro­tec­tion possible. Pour y parvenir, le système de pré­ven­tion d’intrusion se place, de manière générale, juste derrière le pare-feu ; à l’aide de capteurs, il évalue les données système et les paquets du réseau de la manière la plus ex­haus­tive qui soit.

Quels sont les dif­fé­rents types d’Intrusion Pre­ven­tion Systems ?

Il existe dif­fé­rents types de systèmes de pré­ven­tion d’intrusion. Leurs dif­fé­rences tiennent prin­ci­pa­le­ment au fait qu’ils ne s’utilisent pas au même endroit.

• Systèmes de pré­ven­tion d’intrusion basés sur l’hôte : les IPS basés sur l’hôte (ou HIPS) s’ins­tal­lent di­rec­te­ment sur un terminal, et se con­ten­tent de sur­veil­ler les données entrantes et sortantes. Ainsi, ils ne peuvent donc fonc­tion­ner et repousser toute attaque po­ten­tielle que sur l’appareil concerné ; pour cette raison, les HIPS sont souvent combinés à d’autres méthodes, adeptes d’une approche plus large. Le système de pré­ven­tion d’intrusion basé sur l’hôte agit alors comme une dernière mesure de pro­tec­tion.
• Systèmes de pré­ven­tion d’intrusion par le réseau : les IPS par le réseau (ou NIPS) peuvent être mis en place à dif­fé­rents em­pla­ce­ments d’un réseau. Ainsi, il leur incombe de contrôler autant que possible l’ensemble des paquets de données envoyés au sein de celui-ci. À cette fin, ils sont installés par l’in­ter­mé­diaire d’un appareil distinct, ou dans un pare-feu ; tous les systèmes connectés au réseau peuvent alors être analysés, mais aussi protégés.
• Systèmes de pré­ven­tion d’intrusion sans fil : les WIPS (pour Wireless Intrusion Pre­ven­tion System) sont conçus spé­cia­le­ment pour être utilisés au sein d’un réseau sans fil. En cas d’accès non autorisé, l’IPS se charge de repérer l’appareil concerné et de l’empêcher d’accéder au réseau.
• Systèmes de pré­ven­tion d’intrusion basés sur le com­por­te­ment : pour lutter contre les attaques DDoS, la méthode NBA (pour Network Behavior Analysis, analyse du com­por­te­ment du réseau) semble tout indiquée. Avec celle-ci, vous pouvez sur­veil­ler l’ensemble du trafic de données et détecter toute attaque avant qu’elle ait lieu, de manière à mieux l’éviter.

Comment fonc­tionne un Intrusion Pre­ven­tion System ?

La mission d’un système de pré­ven­tion d’intrusion se décompose en deux parties. Pre­miè­re­ment, le système doit commencer par détecter, pré­fil­trer, analyser et signaler toute menace po­ten­tielle. Sur ce point, le fonc­tion­ne­ment de l’IPS est plutôt semblable à celui d’un système de détection d’intrusion. Deuxiè­me­ment, le système de pré­ven­tion d’intrusion peut aussi in­ter­ve­nir di­rec­te­ment en cas de menace, et donc appliquer ses propres mesures d’urgence pour contrer le danger. Quel que soit le cas, l’IPS dispose de dif­fé­rentes méthodes.

Méthodes d’analyse d’un IPS

• Détection des anomalies : pour la détection d’anomalies, les com­por­te­ments au sein du réseau ou au niveau d’un terminal sont comparés à une norme bien définie. Si d’im­por­tants écarts sont constatés par rapport à la norme, alors le système de pré­ven­tion d’intrusion peut prendre les mesures qui s’imposent pour y remédier. Toutefois, en fonction des réglages choisis, cette méthode est aussi sus­cep­tible d’être à l’origine de nom­breuses fausses alertes ; c’est l’une des raisons pour les­quelles les systèmes modernes font de plus en plus souvent appel à l’in­tel­li­gence ar­ti­fi­cielle (ou IA) pour réduire con­si­dé­ra­ble­ment ces taux d’erreur.
• Détection des attaques : cette méthode consiste à analyser les paquets de données de manière à repérer toute forme d’attaque déjà connue. Avec les systèmes de pré­ven­tion d’intrusion de ce type, les résultats obtenus en matière de détection des anciennes menaces sont plutôt con­vain­cants, celles-ci étant iden­ti­fiées avec un haut degré de pro­ba­bi­lité. Néanmoins, cette approche ne convient pas aux nouveaux types d’attaques n’étant pas encore connus.
• IPS basé sur des stra­té­gies : le système de pré­ven­tion d’intrusion basé sur des stra­té­gies se rencontre beaucoup plus rarement que les deux méthodes exposées ci-dessus. Pour l’utiliser, il convient avant tout de con­fi­gu­rer des stra­té­gies de sécurité à la fois spéciales et in­di­vi­duelles ; celles-ci servent alors de base à la sur­veil­lance du système concerné.

Mé­ca­nismes de défense d’un IPS

Le système de pré­ven­tion d’intrusion fonc­tionne en temps réel, sans ralentir le flux de données. S’il détecte une menace à l’aide des méthodes de sur­veil­lance pré­sen­tées ci-dessus, l’IPS peut choisir de se tourner vers dif­fé­rentes options. Si la menace reste re­la­ti­ve­ment inof­fen­sive, il se contente d’en notifier l’ad­mi­nis­tra­teur, comme le fait l’IDS ; celui-ci décide alors des mesures qu’il convient de prendre. Toutefois, dans les cas les plus graves, le système de pré­ven­tion d’intrusion in­ter­vient par lui-même. Il est par exemple en mesure d’in­ter­rompre et de réi­ni­tia­li­ser les voies de trans­mis­sion, de bloquer les sources ou les sites cibles, voire de rejeter com­plè­te­ment certains paquets de données.

Quels sont les avantages d’un Intrusion Pre­ven­tion System ?

En utilisant un système de pré­ven­tion d’intrusion de façon ciblée, vous pouvez profiter de nombreux avantages. La mise en œuvre d’un tel système vous permet en effet de bé­né­fi­cier d’une dimension de pro­tec­tion sup­plé­men­taire. Un IPS est capable de détecter de nombreux risques qui demeurent in­vi­sibles pour d’autres outils. Grâce à son pré­fil­trage, le système de pré­ven­tion d’intrusion soulage aussi les autres mé­ca­nismes, ce qui permet de préserver l’ensemble de l’ar­chi­tec­ture. Il est également né­ces­saire de préciser que les dif­fé­rentes pos­si­bi­li­tés de con­fi­gu­ra­tion vous per­met­tent d’adapter votre IPS de manière à ce qu’il réponde exac­te­ment à vos besoins. Si cette con­fi­gu­ra­tion est effectuée cor­rec­te­ment, le système fonc­tionne alors de manière autonome, ce qui vous permet de gagner du temps.

Quels sont les in­con­vé­nients d’un Intrusion Pre­ven­tion System ?

Si vous l’utilisez cor­rec­te­ment, votre système de pré­ven­tion d’intrusion peut vous rendre de précieux services, mais aussi améliorer con­si­dé­ra­ble­ment la sécurité de votre réseau. Toutefois, cette méthode comporte aussi quelques in­con­vé­nients (po­ten­tiels). Nous avons déjà mentionné certains points faibles dans le domaine de la détection des anomalies et des attaques, mais les prin­ci­paux in­con­vé­nients con­cer­nent les exigences en matière de con­fi­gu­ra­tion ma­té­rielle. Gé­né­ra­le­ment, les besoins en res­sources d’un système de pré­ven­tion d’intrusion sont très élevés, sans compter qu’ils sont pro­por­tion­nels à la taille du réseau concerné. Pour obtenir une véritable valeur ajoutée, il faut donc que vos capacités cor­res­pon­dent à vos besoins. De plus, ces systèmes ne sont pas simples à con­fi­gu­rer, surtout si vous débutez. Attention : une mauvaise con­fi­gu­ra­tion peut faire ap­pa­raître des problèmes au sein du réseau.

DenyHosts : le meilleur IPS contre la force brute

DenyHosts est une option in­té­res­sante dans le domaine de la lutte contre les attaques par force brute. Ce système de pré­ven­tion d’intrusion open source a été écrit en Python. Il s’occupe de sur­veil­ler les ten­ta­tives de connexion SSH et de bloquer les adresses cor­res­pon­dantes s’il en­re­gistre de trop nom­breuses ten­ta­tives ratées. Vous pouvez accéder au ré­fé­ren­tiel GitHub officiel de DenyHosts.