IDS, qu’est ce qu’un système de détection d’intrusions

La strategie de de cybersecurité a une place bien à elle, dans le monde de la sécurité informatique, et la technologie IDS/IPS contribue largement à son amélioration.

IDS, Qu’est-ce qu’un système de détection d’intrusions ;  Selon une étude réalisée par Positive Technologies, en 2021, le nombre moyen de cyberattaques et de violations de données a augmenté de 15,1 % par rapport à l’année 2020. Et dans plus de 90 % des cas, les attaquants ont pu pénétrer dans le périmètre du réseau de l’entreprise prise pour cible et accéder aux ressources du réseau local, toujours selon la même étude.

Alors que les cybermenaces continuent d’évoluer à un rythme alarmant en nombre mais aussi en termes de dangerosité, vous vous demandez sûrement comment vous pouvez anticiper ces attaques pour protéger les données et les applications de votre entreprise.

Bien qu’il soit impossible de rester protégé à 100 % contre une cyberattaque, il existe néanmoins des outils que vous pouvez utiliser pour vous aider à détecter et à atténuer les cybermenaces avant qu’elles ne causent des dommages. Dans la liste des outils de cybersécurité les plus importants, il y a notamment les systèmes de détection d’intrusions ou IDS.

IDS, Qu’est-ce qu’un système de détection d’intrusions ;  Comment il fonctionne ? Quels sont ses capacités ? Les réponses tout de suite dans le contenu du présent article !

Définition Basique d’un IDS

Les IDS (Intrusion Detection Systems) : sont faits pour analyser et surveiller le trafic réseau et pour y détecter des signes (signatures)  indiquant que des hackers  (ou des utilisateurs extérieurs mal intentionnés) utilisent une cybermenace connue afin de s’infiltrer dans votre réseau ou y voler des données, ou pour commettre des actions malveillantes.

Compte tenu qu’un humain ou un système autre doit prendre le relais pour vérifier et valider les résultats, il est important que les bases de signatures actives soient toujours actualisées pour obtenir la meilleure détection possible, c’est pour cela que notamment dans ce domaine, nous suggérons d’avoir des mises à jour presque en temps réel.

Définition Basique d’un IPS

Souvent l‘IPS est confondu avec l’IDS, pourtant ils n’ont pas les mêmes fonctions, donc ils ne jouent pas les mêmes rôles, et sont quelque peu complémentaires.

L’objectif de l’IPS est de capturer les paquets dangereux et de les retirer des flux, avant qu’ils n’arrivent à leur cible, améliorant ainsi la cybersécurité des systèmes.

Il est reconnu de tous que l’IPS est considéré comme un peu plus passif que l’IDS, mais tout comme pour l’iDS, sa base doit aussi toujours être à jour, si vous souhaitez son efficacité.

Un système de détection d’intrusions (IDS), c’est quoi ?

Les systèmes de détection d’intrusion (IDS) sont des logiciels conçus pour surveiller le trafic réseau entrant et sortant afin de découvrir les irrégularités, les activités suspectes ainsi que les activités malveillantes. Ils alertent les responsables informatiques lorsque des activités suspectes sont découvertes. Un administrateur examine ensuite les alarmes et prend des mesures pour supprimer la menace.

Si par exemple des logiciels malveillants ont réussi à pénétrer votre réseau, l’IDS en place les détectera s’ils sont visibles au niveau des données transportées par le trafic réseau. Et dès qu’une menace est détectée, quasiment au même moment, la solution IDS déclenche une alerte qui sera diffusée à l’équipe de sécurité afin qu’elle puisse enquêter et y remédier.

La détection et le signalement des anomalies restent les deux principales fonctions d’une solution IDS. Néanmoins, certaines d’entre elles peuvent prendre des mesures plus avancées lorsqu’une activité malveillante ou un trafic anormal est détecté, notamment en bloquant le trafic envoyé à partir d’adresses IP (Internet Protocol) suspectes.

Selon un rapport publié récemment par Global Market Insights Inc., avec le nombre de cyberattaques qui ne cesse de grimper, les organisations investissent de plus en plus dans leur cybersécurité pour mieux se protéger. Cela a contribué à la croissance du marché des IDS. La taille de ce dernier devrait ainsi passer de 3 milliards de dollars US en 2018 à 8 milliards de dollars US d’ici 2025.

De quoi les systèmes de détection d’intrusion sont capables de faire ?

Déjà expliqué plus haut, les IDS sont utilisés pour détecter les anomalies, les irrégularités et les activités suspectes afin de permettre aux responsables de sécurité informatique d’identifier et de stopper une attaque avant qu’elle ne cause de réels dommages au réseau de l’entreprise.

Ils fonctionnent en collectant des données au niveau de points stratégiques du réseau pour rechercher soit des signatures d’attaques connues, soit des écarts par rapport à une activité normale. L’identification et l’interprétation des signatures d’attaque et des états se font en corrélant les données à des modèles préexistants. Plus concrètement, les paquets réseau sont confrontées à une base de données avec des signatures d’attaques connues. C’est le cas en tout cas pour les systèmes de détection d’intrusion basée sur les signatures !

Voici une liste non exhaustive de ce que peut faire système IDS :

• Identifier les schémas d’attaque dans les paquets réseau ;
• Observer et analyser le comportement de chacun des utilisateurs ;
• S’assurer que ce que font les utilisateurs ainsi que les activités au niveau du système ne vont pas à l’encontre des politiques de sécurité mis en place par les responsables de sécurité ;
• Identifier les mauvaises configurations ;
• Évaluer l’intégrité des systèmes et fichiers critiques ;
• Surveiller le bon fonctionnement des routeurs, des pare-feu…
• Alerter les responsables informatiques d’une potentielle intrusion ;
• Fournir aux responsables informatiques des informations permettant de mieux appréhender l’intrusion détectée ;
• Ou encore fournir une interface conviviale afin que les membres du personnel non experts puissent aider à gérer la sécurité du système.

Les attaques courantes détectées par un IDS

Dans la liste des attaques les plus courantes qu’un IDS peut détecter, il y a notamment les :

• Tous les logiciels malveillants connus (vers, rançongiciels, chevaux de Troie, virus, bots…).
• Les cyberattaques qui ont pour but de recueillir des informations sur les ports ouverts ou fermés, les types de trafic autorisé, les hôtes actifs…
• Les cyberattaques qui envient des paquets malveillants et contournent les contrôles de sécurité avec différentes routes d’entrée et de sortie.
• Les attaques par débordement de mémoire tampon qui envient des données supplémentaires peuvent contenir des codes malveillants conçus pour déclencher des actions spécifiques telles que l’endommagement de fichiers ou encore pour remplacer le contenu de la base de données par des fichiers exécutables malveillants.
• Attaques qui ciblent les protocoles (ICMP, TCP, ARP…).
• Les attaques DDoS et autres types d’attaques qui visent à inonder le trafic dans le but de surcharger le réseau.

Les différentes méthodes de détection des intrusions

La méthode de détection exploitée par la solution IDS définit également son type. Voici donc les 3 types d’IDS, si on se base sur la méthode de détection :

• Les systèmes de détection d’intrusion basée sur les signatures.

Pour détecter les intrusions, ce type d’IDS utilisent les empreintes digitales des menaces déjà connues. Les empreintes en question peuvent être des séquences d’octets au sein du trafic réseau ou bien des séquences d’instructions malveillantes connues propres à un logiciel malveillant. Le problème avec ce type d’IDS est qu’ils sont incapables de détecter de nouvelles attaques pour lesquelles aucun modèle n’est connu. Ils ne détectent pas non plus les vulnérabilités zero-day. En revanche, ils détectent facilement les menaces qu’ils connaissent déjà. Le taux de détection pour les menaces déjà répertoriées sans faux positifs est élevé.

• Les systèmes de détection d’intrusion basée sur les anomalies.

Les IDS qui se basent sur les anomalies sont à l’opposé des systèmes de détection d’intrusion basée sur les signatures dans le sens où ils sont spécialement conçus pour identifier les attaques inconnues, telles que les nouveaux logiciels malveillants et les nouvelles méthodes de cyberattaques, et s’y adapter grâce à des technologies plus récentes comme l’Intelligence artificielle et l’Apprentissage automatique. Pour détecter les anomalies, ce type d’IDS commence par créer à l’aide de l’IA et de l’Apprentissage automatique des modèles d’activité dite sûre. Tous les nouveaux comportements détectés qui s’éloignent de ces nombreux modèles d’activité sûre seront alors considérés par l’IDS comme de potentiels signes d’intrusion.

• Les systèmes de détection d’intrusion dits hybrides.

Utilisant à la fois une méthode de détection basée sur les anomalies et les signatures, ce type d’IDS a une portée de détection plus grande, ce qui vous permet d’identifier autant de menaces que possible. Les systèmes de détection d’intrusion hybrides fonctionnent même sur les attaques conçues normalement pour tromper un système de prévention d’intrusion en lui faisant croire qu’aucune attaque n’est en cours.

Les autres classes de systèmes de détection d’intrusion

En plus de leur méthode de détection des intrusions, les IDS sont également classés en fonction de des éléments du réseau où ils sont installés. Il existe en tout deux classes d’IDS : les IDS basés sur l’hôte et les IDS basé sur le réseau.

• IDS basé sur l’hôte :

un IDS basé sur l’hôte se déploie sur un hôte connecté à Internet ou au réseau interne de l’entreprise. Une fois installé sur son hôte (un ordinateur), il va protéger celui-ci contre les menaces internes et externes, généralement en analysant les programmes en cours et la façon dont ceux-ci utilisent des ressources pour tenter de trouver des anomalies ou des signatures qui pourraient montrer la présence d’intrusions. En outre, si l’IDS basé sur l’hôte se fait aussi appeler ainsi, c’est également à cause du fait que sa vision se limite uniquement à sa machine hôte.

• IDS basé sur le réseau :

cette fois-ci la solution IDS est déployée à des points stratégiques du réseau de l’entreprise pour permettre la surveillance du trafic entrant et sortant. L’IDS basé sur le réseau, à la différence de celui basé sur l’hôte, a plus de visibilité sur tout le trafic circulant sur le réseau, lui permettant couvrir une zone plus large et également des menaces plus généralisées. Seulement, les systèmes IDS basés sur le réseau présentent aussi l’inconvénient de manquer de visibilité sur les éléments internes des terminaux qu’ils protègent.

Coupler son IDS/IPS au superviseur d’astreinte MEMOGuard V5

Grâce au couplage des IDS/IPS au logiciel de supervision et d’alerting, le personnel d’astreinte est averti en temps réel des incidents quel que soit leur niveau de gravité et permet également un lancement automatique des programmes de mise en quarantaine et de cryptage en attendant les analyses approfondies et patchs informatiques ultérieurs,  cela permet ainsi de garantir et de sauvegarder l’intégrité des données.

MemoGuard V5 vous permet également de lancer des exercices d’IDS afin de vous assurer du bon déroulement et d’anticiper les nouvelles tentatives, coupler les deux solutions revient à automatiser au moins partiellement les tâches de sécurité, en réduisant non seulement les efforts à faire, mais aussi les coûts, et en complétant les technologies de détection (IDS/IPS) par un excellent outil de supervision et de gestion des astreintes, vous aurez une excellente solution pour répondre à vos problèmes de cybersécurité.

Ne doutez plus la cybersécurité est l’un des actuels fléaux pour toutes les entreprises et les réseaux informatiques, donc toute action pour détecter les violations de votre politique interne, et parer aux actions malveillantes pouvant vous affecter sera un plus apprécié de tous (utilisateurs, clients, fournisseurs, dirigeants, et acteurs importants de votre entité), en réalité cela permettra à vos administrateurs réseaux et homme sécurité de réagir plus rapidement face à un problème.

Auteur Antonio Rodriguez Mota, Editeur et Directeur de Clever Technologies

• Surveillance Informatique et Supervision IT, la Comparaison