Un système de détection d'intrusion (IDS) surveille le trafic réseau ou l'activité des hôtes afin de détecter les signes d'une attaque. Il alerte en cas d'anomalie. Il ne bloque pas le trafic. C'est la différence avec un système de prévention d'intrusion (IPS), qui s'exécute en ligne et peut bloquer le trafic. Un IDS est passif : il observe, analyse et génère un rapport. L'analyste décide ensuite des mesures à prendre.

Les méthodes de détection varient. Les systèmes basés sur les signatures s'appuient sur des schémas d'attaque connus. Ils détectent les attaques déjà rencontrées et passent à côté des autres. Les systèmes basés sur les anomalies établissent une base de référence du comportement normal et signalent les écarts. Ils détectent les nouvelles attaques, mais génèrent davantage de faux positifs. La plupart des déploiements combinent les deux. Un IDS réseau surveille le trafic à des points stratégiques. Un IDS hôte surveille les processus, les modifications de fichiers et les appels système sur chaque machine. Le volume d'alertes constitue un problème constant. Un IDS mal paramétré submerge les analystes de bruit. Ils finissent par se déconcentrer. Des alertes importantes sont manquées. Le paramétrage n'est pas une opération ponctuelle. Les réseaux évoluent. De nouvelles applications apparaissent. La base de référence se modifie. Un IDS performant l'année dernière peut être obsolète aujourd'hui.

Types de systèmes de détection d'intrusion

• Basé sur le réseau — surveille le trafic aux points d'accès du réseau
• Basé sur l'hôte — surveille l'activité sur les appareils individuels
• Attaque par signature — correspond aux schémas d'attaque connus
• Détection des anomalies — signale les écarts par rapport au comportement normal

Un IDS est un détecteur de fumée. Il n'éteint pas le feu. Il vous avertit de sa présence.