Systèmes de détection des intrusions

Cette conférence porte sur les systèmes de détection des intrusions (IDS) et les systèmes de prévention des intrusions (IPS), des outils essentiels en sécurité informatique. Elle s'inscrit dans un cours de cybersécurité et vise à expliquer les principes, les types, les méthodes de détection, ainsi que les avantages et limites de ces systèmes.

Introduction aux systèmes de détection d’intrusions

Pour protéger un système contre les attaques, il est nécessaire d’utiliser un logiciel spécialisé capable de surveiller les données qui transitent et de réagir en cas d’activité suspecte. Ces logiciels sont appelés systèmes de détection d’intrusions (IDS, Intrusion Detection System). Leur rôle est de repérer des activités anormales ou suspectes sur la cible analysée, en fournissant une connaissance sur les tentatives d’intrusions réussies ou échouées.

Les premiers IDS ont été développés par l’armée américaine, puis adoptés par des entreprises. Par la suite, des projets open-source comme Snort ou Prelude ont vu le jour, ainsi que des produits commerciaux proposés par des sociétés spécialisées en sécurité informatique telles que Symantec ou Cisco Systems.

Fonctionnement et définition des IDS

Un IDS est essentiellement un sniffer (outil de capture de paquets réseau) couplé à un moteur d’analyse qui examine le trafic selon des règles prédéfinies. Ces règles décrivent des modèles de trafic à signaler et peuvent concerner différentes couches du modèle OSI :

• Couche réseau (IP, ICMP)
• Couche transport (TCP, UDP)
• Couche application (HTTP, Telnet)

Lorsque l’activité s’éloigne de la norme, l’IDS génère une alerte. Après détection, il est important de comprendre l’attaque en cours en recueillant un maximum d’informations sur les cibles, les sources et les procédés utilisés. Ces données sont archivées et corrélées avec d’autres événements pour préparer une réponse adaptée, à court terme (par exemple, blacklistage) ou à long terme (application de correctifs, actions juridiques).

Méthodes de détection

La méthode la plus courante est la détection par signature, qui repose sur la reconnaissance de schémas connus (pattern matching). Les signatures d’attaques sont stockées dans une base de données. Si un événement correspond à une signature, une alerte est déclenchée. Cette méthode nécessite que l’attaque soit déjà connue pour être détectée.

Types d’IDS : NIDS et HIDS

On distingue deux principaux types d’IDS :

• NIDS (Network Intrusion Detection System) : placé sur un réseau, il analyse une copie du trafic circulant entre les points d’entrée et les terminaux. Le NIDS est passif, il ne dialogue pas sur le réseau et fonctionne en mode promiscuité, sans pile de protocoles attachée. Plusieurs sondes peuvent être déployées, à l’extérieur pour étudier les tentatives d’attaques, et en interne pour analyser les requêtes ayant traversé le pare-feu ou initiées depuis l’intérieur.
• HIDS (Host Intrusion Detection System) : installé sur un système hôte, il fonctionne comme un démon ou un service standard. Il analyse les journaux de logs (syslogs, messages, lastlog, wtmp, etc.) et capture les paquets réseau entrants et sortants de l’hôte. Le HIDS détecte des signaux d’intrusions tels que déni de service, backdoors, chevaux de Troie, tentatives d’accès non autorisés, exécution de codes malicieux ou attaques par débordement de tampon.

Le HIDS présente toutefois une limite importante : si le système est compromis par un pirate, il peut devenir inefficace.

Les systèmes de prévention des intrusions (IPS)

Un IPS (Intrusion Prevention System) inspecte le trafic réseau en temps réel et bloque ou corrige les flux contenant du trafic malveillant. Contrairement à l’IDS qui analyse une copie du trafic, l’IPS analyse directement les données réelles qui passent par lui. Il utilise généralement une combinaison de signatures et d’analyses heuristiques pour détecter les menaces.

Les IPS peuvent être de deux types :

• NIPS (Network IPS) : placé sur le réseau, il agit en ligne pour bloquer les attaques avant qu’elles n’atteignent leur cible.
• HIPS (Host IPS) : installé sur un hôte, il protège directement la machine en analysant son trafic et ses activités.

Les IPS offrent une protection active, mais présentent aussi des inconvénients. Ils peuvent bloquer toute activité jugée suspecte, ce qui peut entraîner des faux positifs et perturber le fonctionnement normal. Par exemple, un IPS peut confondre une période de trafic intense avec une attaque par déni de service. De plus, un pirate peut exploiter la capacité de blocage de l’IPS pour provoquer un déni de service ciblé.

Pour limiter ces risques, les IPS intègrent souvent des listes blanches (« white lists ») d’adresses réseau à ne jamais bloquer, afin d’éviter des conséquences catastrophiques en cas d’usurpation d’adresse IP.

Comparaison entre IDS et IPS

La principale différence entre IDS et IPS réside dans leur mode d’intervention :

• L’IDS est un système passif qui détecte et alerte sur des activités suspectes, sans intervenir directement sur le trafic.
• L’IPS est un système actif qui analyse et bloque le trafic en temps réel, empêchant ainsi la propagation des attaques.

Problèmes actuels et perspectives

Les IDS ne sont pas toujours les outils les plus performants du marché. Ils génèrent souvent trop de faux positifs, ce qui complique l’analyse des alertes. De plus, les attaques sont parfois morcelées en plusieurs alertes distinctes, rendant leur identification plus difficile.

Pour améliorer l’efficacité des systèmes de détection et de prévention, plusieurs pistes sont envisagées :

• Améliorer les algorithmes de détection afin de réduire le nombre de faux positifs.
• Corréler les alertes pour diminuer leur nombre et mieux identifier les attaques complexes.
• Développer des scénarios d’attaques plus sophistiqués pour une meilleure reconnaissance des menaces.

Points clés

• Les IDS surveillent le trafic réseau ou les activités d’un hôte pour détecter des intrusions, en générant des alertes.
• Les IPS analysent et bloquent en temps réel le trafic malveillant, offrant une protection active.
• La détection par signature est la méthode la plus répandue, mais elle ne détecte que les attaques connues.
• Les NIDS analysent une copie du trafic réseau, tandis que les HIDS surveillent directement un système hôte.
• Les IPS peuvent générer des faux positifs et être exploités pour des attaques de déni de service.
• Les améliorations portent sur la réduction des faux positifs, la corrélation des alertes et la reconnaissance des scénarios d’attaque complexes.