IDS vs IPS : quelles sont les dif­fé­rences et les points communs entre les systèmes de sécurité ?

La meilleure façon de protéger un réseau ou un système in­for­ma­tique isolé est de détecter et repousser les attaques de manière pré­ven­tive, avant qu’elles ne causent des dommages. Les systèmes de détection et de pré­ven­tion des in­tru­sions sont un com­plé­ment utile au pare-feu. Nous ex­pli­quons ce qui unit et sépare IDS vs IPS.

Avant d’aborder le com­pa­ra­tif IDS vs IPS, nous vous pré­sen­tons briè­ve­ment les deux systèmes. IDS signifie Intrusion Detection System, à savoir un système qui détecte les attaques sur un client ou sur un réseau le plus tôt possible. Si l’IDS rencontre un trafic de données in­ha­bi­tuel pendant son analyse, il envoie un aver­tis­se­ment à l’ad­mi­nis­tra­teur. Dans le cadre d’IDS, on distingue les méthodes de détection des attaques au niveau de l’hôte de celles au niveau du réseau. IPS signifie Intrusion Pre­ven­tion System et désigne un système qui non seulement détecte et signale les attaques po­ten­tielles, mais aussi les neu­tra­lise par des con­tre­me­sures actives. IPS utilise également des capteurs hôtes et réseau pour évaluer les données système et les paquets réseau.

IDS vs IPS : quels sont les dé­no­mi­na­teurs communs ?

Cette brève in­tro­duc­tion montre déjà clai­re­ment que IDS vs IPS ne sont pas en­tiè­re­ment à l’opposé l’un de l’autre. Un certain nombre de facteurs relient ces deux systèmes. Les systèmes de détection et de pré­ven­tion des in­tru­sions pré­sen­tent ces dé­no­mi­na­teurs communs :

Analyse

Dans de nombreux cas, les méthodes ana­ly­tiques employées par les deux systèmes sont presque ou com­plè­te­ment iden­tiques. IPS et IDS placent tous les deux des capteurs sur l’hôte, sur le réseau ou aux deux points pour vérifier et analyser les données système et les paquets sur le réseau à la recherche de menaces. Ils utilisent des pa­ra­mètres définis pour détecter les écarts, mais sont aussi amenés à iden­ti­fier souvent des anomalies inof­fen­sives comme des menaces. Selon le système, l’analyse est effectuée via la Misuse Detection (en français « détection d’abus » à travers les sig­na­tures) ou l’Anomaly Detection (« détection d’anomalie »). Cela se traduit également par des points faibles po­ten­tiels si­mi­laires : la détection des abus basée sur les sig­na­tures peut ignorer les menaces inconnues, tandis que la détection basée sur les anomalies signale plus fré­quem­ment les paquets de données inof­fen­sifs.

Base de données

Les deux systèmes s’appuient sur une base de données pour détecter les menaces, ce qui permet de les iden­ti­fier plus ra­pi­de­ment et plus pré­ci­sé­ment. Plus cette bi­blio­thèque est étendue, plus le taux de succès des deux systèmes est élevé. Pour cette raison, IDS et IPS ne doivent pas être compris comme des dis­po­si­tifs statiques, mais plutôt comme des systèmes évolutifs et adap­ta­tifs qui sont améliorés par des mises à jour.

Uti­li­sa­tion de l’IA

Un facteur décisif dans le com­pa­ra­tif IDS vs IPS est l’in­tel­li­gence ar­ti­fi­cielle. Grâce à l’ap­pren­tis­sage au­to­ma­tique, les systèmes modernes amé­lio­rent leur détection des menaces et élar­gis­sent leurs bases de données. Cela les aide à mieux com­prendre les nouveaux schémas d’attaque, à les détecter plus tôt et à signaler moins fré­quem­ment les faux positifs.

Options de pa­ra­mé­trage

Les deux systèmes peuvent être per­son­na­li­sés et adaptés aux besoins d’un réseau ou d’un système in­for­ma­tique. Cette con­fi­gu­ra­tion garantit que les processus ne sont pas perturbés et que tous les com­po­sants fonc­tion­nent cor­rec­te­ment malgré la sur­veil­lance. L’IDS comme l’IPS scannent et analysent le trafic en temps réel, ce qui est également un facteur important.

Au­to­ma­ti­sa­tion

IDS et IPS fonc­tion­nent tous les deux de manière au­to­ma­tique et autonome. Une fois con­fi­gu­rés, ils ne né­ces­si­tent pas la su­per­vi­sion du personnel de sécurité, mais exécutent leurs tâches comme souhaité. Ils ne remontent l’in­for­ma­tion qu’en présence d’une situation de danger.

Détection des menaces et aver­tis­se­ment

Bien que certains facteurs séparent les systèmes IDS des systèmes IPS, ils se partagent une fonction de base : les deux systèmes détectent non seulement les menaces, mais aver­tis­sent également la personne en charge de l’ad­mi­nis­tra­tion im­mé­dia­te­ment. Cette alerte peut être envoyée par email, comme no­ti­fi­ca­tion sur un appareil mobile, ou di­rec­te­ment comme alarme système. Cela donne aux res­pon­sables la pos­si­bi­lité de décider des pro­chaines mesures à prendre.

Fonction de jour­na­li­sa­tion

IDS et IPS possèdent tous deux une fonction de jour­na­li­sa­tion im­por­tante. Cela leur permet non seulement de signaler (ou de combattre) les menaces, mais aussi de les ajouter à leur propre base de données. Cela permet de la renforcer, et d’iden­ti­fier voire de clore les vul­né­ra­bi­li­tés po­ten­tielles dans un cas de figure idéal.

Col­la­bo­ra­tion avec un pare-feu

Même s’il existe quelques dif­fé­rences entre IDS vs IPS, les deux systèmes doivent être con­si­dé­rés comme com­plé­men­taires à un pare-feu. Tous les mé­ca­nismes de sécurité devraient être coor­don­nés pour assurer la meilleure pro­tec­tion possible contre les attaques. Si vous utilisez uni­que­ment un système de détection d’intrusion ou un système de pré­ven­tion d’intrusion, votre réseau ou or­di­na­teur n’est pas suf­fi­sam­ment sécurisé.

IDS vs IPS : en quoi se dis­tin­guent les deux approches ?

Quelques si­mi­li­tudes rap­prochent ainsi les deux systèmes. Dans l’ensemble, plusieurs dif­fé­rences se détachent toutefois lorsque l’on compare IDS vs IPS. Voici les plus im­por­tantes :

Pré­ven­tion des menaces

Comme mentionné pré­cé­dem­ment, IDS et IPS sur­veil­lent tous les deux le système cor­res­pon­dant, signalent et con­sig­nent les menaces dans un journal. Alors que la mission d’un système de détection d’intrusion s’achève à ce stade, le système de pré­ven­tion d’intrusion va beaucoup plus loin. IPS est un système de sécurité actif qui repousse au­to­ma­ti­que­ment les menaces. Pour ce faire, il in­ter­rompt les sessions si né­ces­saire ou arrête et rejette les paquets de données s’ils pré­sen­tent des anomalies. Un IDS, en revanche, doit être considéré comme un système passif, qui ne prend en charge que la sur­veil­lance et se contente de signaler les dangers possibles.

Po­si­tion­ne­ment

Les po­si­tion­ne­ments possibles de l’IDS vs IPS différent également : l’IDS est soit placé sur une machine, soit en pé­ri­phé­rie d’un réseau. C’est là que le contrôle des paquets de données entrants et sortants est le plus facile. L’IPS, en revanche, est po­si­tionné derrière le pare-feu. Non seulement il peut signaler les menaces, mais il peut également les arrêter de la meilleure façon possible.

Types

Bien que les deux solutions soient basées sur l’hôte (HIPS) ou sur le réseau (NIPS), il existe également des solutions IPS qui sont placées dans un Wi-Fi. Cette variante est appelée WIPS.

In­dé­pen­dance

Les IPS fonc­tion­nent en grande partie in­dé­pen­dam­ment et trouvent gé­né­ra­le­ment des solutions pour dif­fé­rents scénarios de menace. Les IDS sur­veil­lent également les paquets de données sans aucune in­ter­ven­tion externe, mais ne peuvent agir seuls s’ils dé­couvrent un transfert suspect. Une fois l’alerte envoyée, la personne en charge de l’ad­mi­nis­tra­tion doit en­tre­prendre les con­tre­me­sures né­ces­saires par elle-même.

Con­fi­gu­ra­tion de IDS vs IPS

IDS fonc­tionne gé­né­ra­le­ment de manière in­cor­po­rée et n’a donc aucun impact négatif sur les per­for­mances du réseau. Cependant, il convient de tenir compte de ce mode de fonc­tion­ne­ment lors de la con­fi­gu­ra­tion. Cela permet à l’IDS de diriger une menace détectée vers le routeur ou le pare-feu et d’avertir l’ad­mi­nis­tra­teur en plus. Un IPS peut avoir un impact négatif sur les per­for­mances du réseau. Par con­sé­quent, il est d’autant plus important que le système soit configuré avec précision. S’il laisse passer des paquets de données dangereux, la pro­tec­tion n’est plus garantie. Cependant, s’il bloque des trans­mis­sions inof­fen­sives, il affectera l’ensemble du réseau.