Résumé
Un système de détection d’intrusion (IDS) surveille en continu le trafic réseau et hôte, signalant toute activité suspecte grâce à une détection basée sur les signatures ou les anomalies, mais il ne peut pas stopper les attaques à lui seul. Comprendre où positionner votre IDS, en quoi il diffère des pare-feu et des systèmes de prévention des intrusions, ainsi que ses limites connues (telles que les lacunes liées au déchiffrement et la surcharge de faux positifs), est essentiel pour bâtir une posture de sécurité résiliente. Les solutions IDS émergentes commencent à exploiter l’apprentissage automatique afin de réduire la charge administrative et d’améliorer la précision.
Comment un IDS s’intègre-t-il dans votre stratégie de sécurité ?
Contrairement à un système de prévention des intrusions (IPS), un IDS traditionnel ne peut ni bloquer ni résoudre les menaces de manière autonome. Au lieu de cela, il signale les anomalies et alerte les équipes de sécurité ou les logiciels automatisés afin qu’ils puissent enquêter et résoudre le problème.
Développée pour la première fois dans les années 1980, la technologie IDS continue d’évoluer en parallèle des menaces cyber actuelles. Ci-dessous, nous allons examiner le fonctionnement d’un IDS, les principales stratégies de déploiement, ainsi que les avantages et limites essentiels afin de vous aider à déterminer s’il convient à votre posture de sécurité. Comment fonctionne la détection d’intrusion ?
Parmi toutes les entreprises actuellement ouvertes aux États-Unis, 14 millions sont vulnérables à une cyberattaque. Les grandes entreprises sont évidemment exposées à des risques. Mais même les entreprises de plus petite taille peuvent attirer les personnes mal intentionnées et les programmeurs malveillants. Un IDS doit vous aider à détecter un problème rapidement, avant que des dommages importants ne surviennent.
Il existe deux principaux types d’IDS.
- Système de détection d’intrusion réseau (NIDS) : Surveille tout ce qui entre ou sort d’un appareil sur le réseau.
- Système de détection d’intrusion sur l’hôte (HIDS) : Surveille un appareil individuel (ou hôte) au sein du réseau. Elle analyse le trafic entrant et sortant.
Comment un IDS détecte-t-il un problème au sein des modèles de trafic ? Deux principaux types de détection sont disponibles : Votre système peut signaler des problèmes en fonction des éléments suivants :
- Signatures. Le système de détection d’intrusion compare les mouvements au sein de votre système à une vaste base de données de techniques de piratage connues. En substance, le programme cherche à déterminer si ce qui se passe actuellement sur votre système a déjà causé du tort à une personne par le passé.
- Anomalies. Le système compare l’action en cours à ce qui s’est produit auparavant au même endroit. Une hausse soudaine de l’activité, ou au contraire une chute brutale, peut tout à fait être anodine. Mais cela peut aussi être le signe d’un problème.
Quel que soit le type d’IDS que vous utilisez et le mode de détection choisi, la solution ne se trouve pas dans l’IDS. Ces programmes ne peuvent pas arrêter le trafic, fermer les trappes, ni nettoyer les dégâts.
De la même façon qu’un détecteur de fumée ne peut pas éteindre un incendie, un IDS ne peut pas stopper une attaque en cours. Tout ce que ces programmes peuvent faire, c’est vous alerter en cas de problème.
Où doit se situer un IDS ?
Votre réseau comporte de nombreux points d’entrée et de sortie. Vous en avez besoin pour que les données puissent circuler librement. Mais chacune constitue une faille, et si vous en avez beaucoup, il peut être difficile de déterminer l’emplacement idéal pour installer votre IDS.
Vous pouvez saisir votre IDS :
- Derrière le pare-feu. Chaque entreprise, quelle que soit sa taille ou sa configuration, devrait disposer d’un pare-feu. Installez un IDS juste derrière votre pare-feu afin de surveiller de près le trafic entrant dans votre système.
- À l’intérieur de votre pare-feu. Intégrer les deux systèmes afin de permettre le suivi des attaques dès leur entrée dans le réseau.
- Sur votre réseau. Avec cette approche, une attaque sur votre serveur ne se propage pas.
Analysez les attaques passées ainsi que vos risques actuels afin de déterminer quelle option de placement convient le mieux à votre situation. Avec le temps, il se peut que vous constatiez qu’il est nécessaire de déplacer l’IDS afin d’atteindre le niveau de protection le plus élevé.
En quoi un IDS se distingue-t-il des autres méthodes de sécurité ?
De nombreux systèmes de sécurité existent, et, même s'ils fonctionnent souvent ensemble, il n'est pas toujours facile de les distinguer mentalement.
Un IDS se distingue de :
| Système | Vous détectez les problèmes | Évite ou empêche les problèmes | Vous alertez | Notes |
|---|---|---|---|---|
| Pare-feu | Non | Oui (conformément aux règles) | Non | Les règles définissent qui doit accéder et ce qui doit se passer une fois sur place. Un pare-feu applique simplement les règles que vous définissez. |
| Système de détection d’intrusion (IDS) | Oui | Non | Oui | Transmet les anomalies à un autre programme ou à une personne pour évaluer la situation et y remédier. Impossible d’interrompre le trafic, de fermer les portes dérobées ou de remédier aux incidents. |
| Système de prévention des intrusions (IPS) | Oui | Oui | Oui | Identifie les problèmes et les résout. Vous pouvez toujours recevoir une alerte lorsqu’un problème survient, mais la solution est déjà en cours d’application. |
| Système de détection et de prévention des intrusions (IDPS) | Oui | Oui | Oui | Identifie les problèmes, les signale et travaille à éviter qu’ils ne se reproduisent. Cela peut mettre en évidence des failles dans vos plans qui vous rendent vulnérable aux attaques. |
Les programmes de sécurité comportent de nombreux acronymes, et il est facile de les confondre. De manière générale, considérez un IDS comme un outil utile à associer à votre expertise pour protéger votre entreprise. Considérez les autres produits comme des outils pouvant vous aider à faciliter votre travail.
Quels sont les avantages et les inconvénients d’un IDS ?
Les hackers sont très actifs. En décembre 2020 seulement, 14 attaques connues ont eu lieu. Dans un seul cas, des pirates informatiques ont exigé 1 000 000 $ en bitcoin.
Sans dispositifs de défense adaptés, une telle attaque est probable. Et si vous ne surveillez pas le trafic, l’attaque peut durer des mois, voire des années. Plus un intrus reste longtemps dans votre système, plus le risque de subir des dommages catastrophiques augmente.
Quelles sont les limites connues d’un IDS ?
Mais même avec un IDS en place, un hacker peut se déplacer à travers votre vaste réseau de protection :
- Masquage. Les serveurs proxy facilitent grandement la dissimulation de l’origine d’une attaque.
- Partage. Les hackers peuvent répartir le travail entre de nombreux appareils et utilisateurs. Il est plus difficile de constater les dégâts au premier coup d’œil.
- Séparation. Un hacker peut fragmenter des paquets afin d’éviter toute détection.
Votre IDS peut également présenter des limites connues, telles que :
- Logiciels obsolètes. Si le système de détection d’intrusion compare votre trafic à des attaques survenues il y a plusieurs mois ou années, vous risquez de passer à côté d’indices révélant de nouvelles variantes.
- Problèmes de déchiffrement. La plupart des systèmes ne peuvent pas évaluer les paquets chiffrés.
- Mauvaises pratiques. Plus de la moitié des PME victimes d'une attaque cessent leur activité en moins de six mois. Elles ne définissent pas les prochaines étapes à suivre pour les guider en cas d’attaque en cours. Sans ces règles, elles peuvent constater qu'elles sont confrontées à un problème, mais elles n'ont aucune idée de la façon de le résoudre.
- Manque de ressources humaines. Une personne doit être disponible pour examiner chaque alerte, y compris les faux positifs. Un IDS génère d’importants volumes de données, et une personne doit examiner chaque élément.
Quels sont les avantages du système IDS ?
Pourtant, avec des attaques toutes les 39 secondes, les entreprises ne peuvent pas se permettre d’ignorer les avantages et de se concentrer uniquement sur les risques. Un IDS fournit de nombreuses données précieuses que vous pouvez utiliser pour protéger votre entreprise. Si vous ne l’utilisez pas, vous laissez la porte grande ouverte aux hackers.
À quoi ressemble l'avenir de l'IDS ?
Les entreprises prennent conscience des limites d’un IDS standard. Certaines entreprises réagissent en développant des produits plus grands et meilleurs pour leurs clients.
Comment la technologie IDS évolue-t-elle ?
D’ici un à deux ans, de nouvelles solutions IDS pourraient présenter une charge administrative réduite. Elles peuvent s’appuyer sur le machine learning pour réduire le risque de faux positifs, ce qui permet aux équipes d’avoir moins d’éléments à examiner chaque jour. Les fournisseurs peuvent également les mettre à jour simultanément, de sorte que le système dispose en permanence d’informations actualisées sur les nouveaux défis.
En savoir plus sur la différence entre IDS et IPS.
Foire aux questions (FAQ)
Un système de détection d’intrusion (IDS) peut-il arrêter une cyberattaque de manière autonome ?
Non. Un système de détection d’intrusion (IDS) est uniquement un outil de surveillance et d’alerte : il ne peut ni bloquer le trafic, ni corriger les vulnérabilités, ni remédier aux dommages. Comme un détecteur de fumée qui signale un incendie sans pouvoir l’éteindre, un IDS alerte une personne ou un autre système afin qu’une action soit entreprise. Pour des capacités de réponse automatisée, les entreprises devraient envisager un système de prévention des intrusions (IPS) ou un système de détection et de prévention des intrusions (IDPS).
Quelle est la différence entre la détection par signature et la détection basée sur les anomalies dans un système de détection d’intrusion (IDS) ?
La détection basée sur les signatures compare l’activité réseau actuelle à une base de données de modèles d’attaque connus, en signalant toute correspondance avec une menace déjà répertoriée. La détection basée sur les anomalies consiste plutôt à établir une référence du comportement habituel, puis à alerter en cas d’écart significatif — comme une hausse ou une baisse soudaine du trafic — ce qui permet d’identifier des menaces inédites qui ne figurent pas encore dans une base de signatures.
Quel est l’emplacement idéal pour installer un système de détection d’intrusion (IDS) sur un réseau ?
Le positionnement dépend de votre profil de risque spécifique et de l’historique des attaques subies. Les options courantes incluent derrière le pare-feu (pour surveiller de près le trafic entrant), à l’intérieur du pare-feu (pour détecter les attaques dès leur entrée), ou directement sur le réseau (pour empêcher la propagation interne). L’analyse de vos données d’attaques passées et de vos vulnérabilités actuelles constitue la meilleure méthode pour déterminer l’emplacement optimal, et il peut être nécessaire de l’ajuster au fil du temps.
Quelles sont les principales limites d’un système de détection d’intrusion (IDS) ?
Les principales limites incluent des bases de signatures obsolètes susceptibles de ne pas détecter les variantes d’attaque récentes, l’incapacité à analyser les paquets chiffrés, ainsi que la génération d’un grand nombre d’alertes (y compris des faux positifs) nécessitant une intervention humaine. De plus, sans plan de résolution des incidents défini, les entreprises peuvent détecter une attaque sans disposer d’une démarche claire pour y répondre.
Comment les hackers parviennent-ils à contourner les systèmes de détection d’intrusion (IDS) ?
Les attaquants utilisent plusieurs techniques pour éviter la détection par un système de détection d’intrusion (IDS) : ils routent le trafic via des serveurs proxy pour masquer l’origine de l’attaque, répartissent les activités malveillantes sur de nombreux appareils afin d’obscurcir le modèle, et fragmentent les paquets de données pour contourner les règles de détection. Ces méthodes d’évasion montrent pourquoi un IDS doit constituer un niveau au sein d’une stratégie de sécurité multiniveau, reposant sur différents outils.
Comment la technologie des systèmes de détection d’intrusion (IDS) devrait-elle évoluer ?
Les nouvelles solutions de systèmes de détection d’intrusion (IDS) devraient intégrer le machine learning afin de réduire les faux positifs et d’alléger la charge administrative des équipes sécurité. Les fournisseurs évoluent également vers des mises à jour simultanées et en temps réel, afin que les systèmes disposent en permanence des dernières informations sur les menaces — ce qui permet de remédier à l’une des principales limites actuelles de la détection basée sur les signatures.
Références
14 millions d’entreprises aux États-Unis sont exposées à une menace de pirate informatique. (juillet 2017). CNBC.
Pourquoi chaque entreprise a besoin d’un pare-feu. (novembre 2018). Phoenix Business Journal.
Incidents cyber majeurs. Centre d’études stratégiques et internationales.
60 % des entreprises échouent en six mois pour cette raison (et ce n’est pas celle que vous imaginez). (mai 2017). Inc.
Des hackers attaquent toutes les 39 secondes. (février 2017). Sécurité.
