Qu'est-ce que c'est ?
On appelle
IDS (Intrusion Detection System) un mécanisme écoutant le
trafic réseau de maniere furtive afin de repérer des
activités anormales ou suspectes et permettant ainsi d'avoir
une action de prévention sur les risques d'intrusion.Il
existe deux grandes familles distinctes d’IDS :
* Les N-IDS
(Network Based Intrusion Detection System), ils assurent la
sécurité au niveau du réseau.
* Les H-IDS
(Host Based Intrusion Detection System), ils assurent la
sécurité au niveau des hôtes.
Un N-IDS nécessite un matériel dédié et constitue un systeme
capable de contrôler les paquets circulant sur un ou
plusieurs lien(s) réseau dans le but de découvrir si un acte
malveillant ou anormal a lieu. Le N-IDS place une ou
plusieurs cartes d’interface réseau du systeme dédié en mode
promiscuité (promiscuous mode), elles sont alors en mode «
furtif » afin qu’elles n’aient pas d’adresse IP. Elles n’ont
pas non plus de pile de protocole attachée. Il est fréquent
de trouver plusieurs IDS sur les différentes parties du
réseau et en particulier de placer une sonde a l'extérieur
du réseau afin d'étudier les tentatives d'attaques ainsi
qu'une sonde en interne pour analyser les requetes ayant
traversé le pare-feu ou bien menée depuis l'intérieur.
Le H-IDS réside sur un hôte particulier et la gamme de ces
logiciels couvre donc une grande partie des systemes
d’exploitation tels que Windows, Solaris, Linux, HP-UX, Aix,
etc…Le H-IDS se comporte comme un démon ou un service
standard sur un systeme hôte. Traditionnellement, le H-IDS
analyse des informations particulieres dans les journaux de
logs (syslogs, messages, lastlog, wtmp…) et aussi capture
les paquets réseaux entrant/sortant de l’hôte pour y déceler
des signaux d’intrusions (Déni de Services, Backdoors,
chevaux de Troie, tentatives d’acces non autorisés,
exécution de codes malicieux, attaques par débordement de
buffeurs…).
On peut
aussi définir deux modes de fonctionnement selon qu'ils se
basent sur des signatures d'attaques ou sur des modeles
comportementaux.
-
IDS a Bibliotheques de signatures
-
-
Cette
approche consiste a rechercher dans l'activité de l'élément
surveillé les signatures d'attaques connues. Cette démarche
appliquée a la détection d'intrusion, est tres similaire a
celle des outils antivirus et présente les meme
inconvénients que celle ci. Il est aisé de comprendre que ce
type d'IDS est purement réactif ; il ne peut détecter que
les attaques dont il possede la signature. De ce fait, il
nécessite des mises a jour quotidiennes. De plus, ce systeme
de détection est aussi bon que l'est la base de signature.
Si les signatures sont erronées ou incorrectement conçues
l'ensemble du systeme est inefficace. C'est pourquoi ces
systemes sont souvent contournés par les pirates qui
utilisent des techniques dites " d'évasion " qui consistent
a maquiller les attaques utilisées. Ces techniques de
maquillage tendent a faire varier les signatures des
attaques qui ainsi ne sont plus reconnues par l'IDS. Ce
modele est par contre tres aisé a implémenter et a
optimiser. Il permet la séparation du moteur logiciel de la
base de signature qui peut ainsi etre mise a jour
indépendamment. Il permet également une classification
relativement facile de la criticité des attaques signalées.
-
-
IDS a Modeles comportementaux
-
Ils
ont pour principe la détection d'anomalies. Leurs mise en
œuvre comprend toujours une phase d'apprentissage au cours
de laquelle ils vont " découvrir " le fonctionnement "
normal " des éléments surveillés. Une fois cet apprentissage
effectué ces IDS signaleront les divergences par rapport au
fonctionnement de référence. Les modeles comportementaux
peuvent etre élaborés a partir d'analyses statistiques ou de
techniques proches de l'intelligence artificielle. La
principale promesse des IDS comportementaux est la détection
des nouveaux type d'attaque. En effet ces IDS ne sont pas
programmés pour reconnaître des attaques spécifiques mais
signalent toute activité " anormale ". De ce fait une
attaque ne doit pas nécessairement etre connue d'avance ;
des lors qu'elle représente une activité anormale elle peut
etre détectée par l'IDS comportemental. Du fait meme de leur
conception ces IDS sont incapables de qualifier la criticité
des attaques. De plus, ces IDS signaleront par exemple tout
changement dans le comportement d'un utilisateur qu'il soit
hostile ou non. De fréquents ajustements sont nécessaires
afin de faire évoluer le modele de référence de sorte qu'il
reflete l'activité normale des utilisateurs et réduire le
nombre de fausses alertes générées.
-
-
Lequel choisir?
