[et_pb_section fb_built=\u00a0\u00bb1″ admin_label=\u00a0\u00bbSection\u00a0\u00bb _builder_version=\u00a0\u00bb4.22.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_margin=\u00a0\u00bb0px||0px||false|false\u00a0\u00bb custom_padding=\u00a0\u00bb0px||0px||false|false\u00a0\u00bb locked=\u00a0\u00bboff\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_row column_structure=\u00a0\u00bb1_4,3_4″ _builder_version=\u00a0\u00bb4.27.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_padding=\u00a0\u00bb50px||||false|false\u00a0\u00bb custom_css_main_element=\u00a0\u00bbz-index:0!important;\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_column type=\u00a0\u00bb1_4″ disabled_on=\u00a0\u00bbon|on|off\u00a0\u00bb _builder_version=\u00a0\u00bb4.22.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_padding=\u00a0\u00bb||||false|false\u00a0\u00bb sticky_position=\u00a0\u00bbtop\u00a0\u00bb sticky_offset_top=\u00a0\u00bb100px\u00a0\u00bb sticky_limit_bottom=\u00a0\u00bbsection\u00a0\u00bb motion_trigger_start=\u00a0\u00bbtop\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_text admin_label=\u00a0\u00bbindice\u00a0\u00bb _builder_version=\u00a0\u00bb4.27.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_margin=\u00a0\u00bb||0px||false|false\u00a0\u00bb custom_padding=\u00a0\u00bb||14px||false|false\u00a0\u00bb link_option_url=\u00a0\u00bb#1″ global_colors_info=\u00a0\u00bb{}\u00a0\u00bb]<\/p>\n
Sections<\/strong><\/p>\n [\/et_pb_text][\/et_pb_column][et_pb_column type=\u00a0\u00bb3_4″ _builder_version=\u00a0\u00bb4.27.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb custom_css_main_element=\u00a0\u00bbz-index:0!important;\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_text admin_label=\u00a0\u00bbseccion\u00a0\u00bb module_id=\u00a0\u00bb1″ module_class=\u00a0\u00bbittopicscontent\u00a0\u00bb _builder_version=\u00a0\u00bb4.27.0″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb z_index=\u00a0\u00bb0″ custom_margin=\u00a0\u00bb0px||0px||true|false\u00a0\u00bb custom_padding=\u00a0\u00bb0px||0px||false|false\u00a0\u00bb custom_css_main_element=\u00a0\u00bbfont-family:%22Pandora-Light%22;\u00a0\u00bb locked=\u00a0\u00bboff\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb]Si vous avez lu 1984 d’Orwell et que vous avez pens\u00e9 que c’\u00e9tait une excellente id\u00e9e… \u00e0 appliquer \u00e0 votre infrastructure informatique, vous avez de la chance. En effet, un IDS (Intrusion Detection System) vous permettra de r\u00e9aliser votre r\u00eave de contr\u00f4ler tout ce qui se passe dans vos r\u00e9seaux et syst\u00e8mes, en d\u00e9tectant les pirates et les tentatives d’intrusion comme si vous aviez des yeux et des oreilles dans tous les coins. Un IDS<\/a> est une technologie de surveillance qui peut d\u00e9tecter toute action suspecte et non autoris\u00e9e sur notre r\u00e9seau ou notre h\u00f4te<\/strong>, alertant le SOC ou le SIEM pour qu’il prenne des mesures. Toute activit\u00e9 non autoris\u00e9e visant \u00e0 compromettre la confidentialit\u00e9, l’int\u00e9grit\u00e9 ou la disponibilit\u00e9 d’un syst\u00e8me.<\/strong> Parfois, je pense que la v\u00e9ritable source de puissance illimit\u00e9e est l’ing\u00e9niosit\u00e9 des pirates informatiques pour p\u00e9n\u00e9trer les d\u00e9fenses. J’ai vu des choses \u00e9tonnantes, mais beaucoup de tentatives d’intrusion commencent par.. : <\/p>\n L’IDS a pour fonction de d\u00e9tecter tout cela et de nous en informer, mais les m\u00e9chants le savent aussi. C’est pourquoi ils essaient d’\u00e9viter notre syst\u00e8me d’espionnage par des man\u0153uvres d’\u00e9vitement telles que : <\/p>\n <\/strong><\/p>\n Les IDS peuvent \u00eatre class\u00e9s dans de nombreuses cat\u00e9gories, y compris dans leur nature la plus \u00e9l\u00e9mentaire de mat\u00e9riel et de logiciel. Cisco, par exemple, propose son Firepower (pare-feu mat\u00e9riel dot\u00e9 de capacit\u00e9s IDS) aux entreprises, tout comme il a d\u00e9ploy\u00e9 ses anciens K9 dans les installations industrielles. Les classifications peuvent \u00eatre infinies, comme la diff\u00e9renciation entre les IDS bas\u00e9s sur le protocole ou m\u00eame les IDS bas\u00e9s sur le protocole d’application, qui surveillent les protocoles du r\u00e9seau ou de la couche d’application (HTTP, DNS…). Toutefois, ces typologies, par exemple, sont consid\u00e9r\u00e9es comme des IDS bas\u00e9s sur le r\u00e9seau et la d\u00e9tection d’anomalies. Imaginez un administrateur informatique qui a autorit\u00e9 sur les syst\u00e8mes de l’organisation et qui fait ce qu’il a toujours voulu faire, c’est-\u00e0-dire les manier d’une main de fer pour compenser ses lacunes dans tous les autres aspects de la vie. Il cr\u00e9e donc son \u00ab\u00a0r\u00e9seau d’espionnage\u00a0\u00bb. Un IPS (Intrusion Prevention System) va plus loin qu’un syst\u00e8me de d\u00e9tection. Alors que les IDS sont des espions qui observent et font des rapports, l’IPS a un \u00ab\u00a0permis d’agir\u00a0\u00bb. Certains les consid\u00e8rent comme la prochaine \u00e9volution, car ils fonctionnent de la m\u00eame mani\u00e8re (par signatures, anomalies, etc.), mais l’IPS ajoute la capacit\u00e9 d’agir<\/strong>. Si nous sommes convaincus de la n\u00e9cessit\u00e9 d’un IDS, plusieurs options s’offrent \u00e0 nous, qu’elles soient open source ou commerciales. Voici une petite comparaison, pour commencer \u00e0 explorer ce qui convient le mieux \u00e0 notre situation. <\/p>\n Outil<\/strong><\/p>\n<\/td>\n Type<\/strong><\/p>\n<\/td>\n Caract\u00e9ristiques principales<\/strong><\/p>\n<\/td>\n Cas d’utilisation<\/strong><\/p>\n<\/td>\n Licence<\/strong><\/p>\n<\/td>\n<\/tr>\n Snort<\/a><\/strong><\/p>\n<\/td>\n NIDS\/IPS<\/p>\n<\/td>\n – Bas\u00e9 sur des signatures compatibles IPS. PME, r\u00e9seaux \u00e0 trafic mod\u00e9r\u00e9.<\/p>\n<\/td>\n Source ouverte (GPLv2)<\/p>\n<\/td>\n<\/tr>\n Suricate<\/a><\/strong><\/p>\n<\/td>\n NIDS\/IPS<\/p>\n<\/td>\n – Multithreading (haute performance). R\u00e9seaux d’entreprise \u00e0 haut d\u00e9bit (>10 Gbps). Suricata est tr\u00e8s bon, mais alourdira les infrastructures modestes. <\/p>\n<\/td>\n Source ouverte (GPLv2)<\/p>\n<\/td>\n<\/tr>\n Zeek NSM<\/strong><\/p>\n<\/td>\n NIDS<\/p>\n<\/td>\n – Approche m\u00e9dico-l\u00e9gale(journaux<\/a> d\u00e9taill\u00e9s). Analyse m\u00e9dico-l\u00e9gale post-incident, grandes entreprises, universit\u00e9s, organismes de recherche ou organisations n\u00e9cessitant une analyse approfondie du r\u00e9seau.<\/p>\n<\/td>\n Open Source (BSD).<\/p>\n<\/td>\n<\/tr>\n OSSEC<\/strong><\/p>\n<\/td>\n HIDS\/IPS<\/p>\n<\/td>\n – Contr\u00f4le de l’int\u00e9grit\u00e9 des journaux et des fichiers. Bas\u00e9 sur l’h\u00f4te, il est id\u00e9al pour surveiller les points d’extr\u00e9mit\u00e9<\/a> critiques (serveurs, \u00e9quipements de r\u00e9seau…).<\/p>\n<\/td>\n Source ouverte (GPLv2)<\/p>\n<\/td>\n<\/tr>\n Cisco Firepower<\/a><\/strong><\/p>\n<\/td>\n NIDS\/IPS<\/p>\n<\/td>\n – Pare-feu physiques. G\u00e9n\u00e9ralement utilis\u00e9 par les grandes entreprises (bien que certains mod\u00e8les comme la s\u00e9rie 1000 soient con\u00e7us pour les PME) et les environnements multi-cloud.<\/p>\n<\/td>\n Commercial<\/p>\n<\/td>\n<\/tr>\n Trellix<\/a> IPS<\/strong><\/p>\n<\/td>\n NIDS\/IPS<\/p>\n<\/td>\n – Capacit\u00e9s au-del\u00e0 de l’analyse bas\u00e9e sur les signatures. Il se positionne comme une solution compl\u00e8te, et non comme un simple IDS, comparable \u00e0 Crowstrike ou Sentinel One.<\/p>\n<\/td>\n Commercial<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n L’int\u00e9gration d’un IDS dans notre strat\u00e9gie de s\u00e9curit\u00e9 n’est pas un projet pr\u00eat \u00e0 l’emploi :<\/p>\n\n
\n\u00c9tant donn\u00e9 le paysage de la cybers\u00e9curit\u00e9, un syst\u00e8me de d\u00e9tection d’intrusion est indispensable<\/strong> pour toute organisation. Nous allons donc vous expliquer ce qu’est un IDS, comment il fonctionne, quelles sont les alternatives existantes et comment r\u00e9aliser le r\u00eave de tout administrateur informatique : devenir un tyran en<\/span> d\u00e9couvrant instantan\u00e9ment toute activit\u00e9 suspecte dans votre domaine technologique. <\/p>\nQu’est-ce qu’un IDS et \u00e0 quoi sert-il ?<\/h2>\n
\nNous pouvons dire que l’IDS est le syst\u00e8me de surveillance permanente<\/strong>, l’observateur infatigable derri\u00e8re chaque coin de rue, notre propre KGB, qui allume les balises du Gondor parce que quelqu’un tente de franchir ses murs.
\nSon utilit\u00e9 est \u00e9vidente : elle permet de d\u00e9tecter les tentatives de violation avant qu’elles n’aboutissent, gr\u00e2ce \u00e0 des alertes.
\nBien que sa fonction principale soit de surveiller et de signaler tout soup\u00e7on, ce n’est pas la seule, car il sert \u00e9galement \u00e0 se conformer aux r\u00e9glementations en mati\u00e8re de cybers\u00e9curit\u00e9<\/strong> qui s’appliquent \u00e0 nous.
\nLes cadres europ\u00e9ens NIS2, NIST<\/a>, ISO 27001 et d’autres cadres r\u00e9glementaires et de bonnes pratiques exigent une surveillance<\/a> continue des r\u00e9seaux (avec des protocoles tels que SNMP<\/a>) et des syst\u00e8mes contre les acc\u00e8s non autoris\u00e9s et les activit\u00e9s malveillantes. L’IDS est l’\u00e9l\u00e9ment qui nous aide \u00e0 nous mettre en conformit\u00e9 et \u00e0 \u00e9viter les amendes<\/strong>.
\nIl est important de pr\u00e9ciser que l’IDS exerce une surveillance constante et passive, mais ne fait que notifier, il ne prend pas de d\u00e9cisions et ne lance pas d’actions<\/strong>. L’IDS est un espion, mais pas un ex\u00e9cutant.
\nLa r\u00e9ponse aux alertes de l’IDS d\u00e9pendra de la structure de s\u00e9curit\u00e9 de l’organisation, qui peut avoir un SIEM connect\u00e9 qui initie des actions automatis\u00e9es, l’IDS lui-m\u00eame peut avoir ajout\u00e9 des fonctions de r\u00e9ponse, ou le SOC peut \u00eatre celui qui agit. <\/p>\nQu’est-ce qu’une intrusion dans la cybers\u00e9curit\u00e9 ?<\/h2>\n
\nCela peut prendre la forme d’un acc\u00e8s non autoris\u00e9 \u00e0 des donn\u00e9es sensibles, de l’ex\u00e9cution de logiciels malveillants (volontairement par d\u00e9pit ou involontairement parce que vous pensiez que ce lien mal orthographi\u00e9 vous permettrait d’obtenir un iPhone), d’un mouvement lat\u00e9ral derri\u00e8re un p\u00e9rim\u00e8tre compromis, etc.<\/p>\nLes m\u00e9thodes d’intrusion les plus courantes<\/h3>\n
\n
\n
Types d’IDS : bas\u00e9s sur l’h\u00f4te (HIDS), bas\u00e9s sur le r\u00e9seau (NIDS) et autres variantes<\/h2>\n
\nMais avec les progr\u00e8s de la virtualisation et le fait que de nombreuses entreprises se d\u00e9placent d\u00e9sormais dans le nuage comme Goku, de nombreuses options seront bas\u00e9es sur des logiciels.
\nAinsi, class\u00e9s par mode de fonctionnement, nous aurions : <\/p>\n\n
\n
\nComme beaucoup l’auront devin\u00e9, certains des meilleurs IDS fonctionnent de mani\u00e8re hybride.<\/strong> C’est-\u00e0-dire qu’ils adoptent la philosophie des Borgs et assimilent le meilleur de chaque monde, en utilisant plusieurs des m\u00e9thodes susmentionn\u00e9es pour une protection compl\u00e8te.
\nOui, je vais tout remplir de r\u00e9f\u00e9rences \u00e0 Star Trek jusqu’\u00e0 ce qu’on me mette \u00e0 la porte, mais continuons \u00e0 creuser. <\/p>\nComment fonctionne un IDS ? M\u00e9thodes de d\u00e9tection et r\u00e9action apr\u00e8s l’alerte <\/h2>\n
\nAu lieu de d\u00e9ployer des camionnettes \u00e0 pizza avec des antennes paraboliques sur le toit, ou des types en trench-coat lisant un journal avec des trous \u00e0 hauteur des yeux, il d\u00e9ploie une solution IDS qui espionne tout ce qui ne semble pas correct<\/strong>.
\nEn fonction de l’organisation, il optera probablement pour un IDS bas\u00e9 sur le r\u00e9seau qui ouvre chaque paquet pour voir s’il contient un cadeau et, pour les actifs sensibles, il d\u00e9ploiera des IDS bas\u00e9s sur l’h\u00f4te. Beaucoup d’entre eux chargent des fichiers de r\u00e8gles (qui sont mis \u00e0 jour) avec des mod\u00e8les, des adresses IP suspectes, etc., de sorte qu’une grande partie de la charge de travail est support\u00e9e par l’IDS.
\nMais ce n’est pas suffisant. Le pouvoir lui est mont\u00e9 \u00e0 la t\u00eate et il d\u00e9cide de mettre en place des politiques suppl\u00e9mentaires, telles que la notification des IP VPN connues sous le nom de RiseUp ou du trafic torrent, sauf pour une machine (la sienne).
\nAvec cela, l’administrateur se sent comme Odin et ses corbeaux Hugin et Munin (son IDS en fait, mais laissons-le r\u00eaver) lui apportent toutes les nouvelles du monde, comme le p\u00e8re de Thor.
\nDonc, il y a une alerte IDS parce que le stagiaire a essay\u00e9 de conduire le trafic sur les ports p2p, tandis qu’une autre arrive avec des paquets \u00e9tranges qui ressemblent \u00e0 un balayage de port. Peu apr\u00e8s, quelqu’un visite notre site web \u00e0 partir d’un VPN et, bien s\u00fbr, il y a une quantit\u00e9 infinie d’humains qui cliquent l\u00e0 o\u00f9 ils ne devraient pas, comme si la fin du monde approchait.
\nIl s’agirait de sch\u00e9mas courants d\u00e9tect\u00e9s par des IDS bas\u00e9s sur des signatures. Mais notre administrateur veut garder son emploi, car c’est sa seule chance de se sentir quelqu’un tous les matins, alors il d\u00e9ploie une solution hybride, avec une d\u00e9tection suppl\u00e9mentaire bas\u00e9e sur les anomalies et l’apprentissage automatique.
\nEnsuite, plusieurs choses se produisent qui, en elles-m\u00eames, ne semblent pas tr\u00e8s importantes.
\nSur une machine Windows, quelqu’un a ex\u00e9cut\u00e9 Powershell. Il ne s’agit pas d’un logiciel malveillant, de sorte qu’un syst\u00e8me IDS bas\u00e9 sur des signatures resterait silencieux. Mais il y a une tentative d’acc\u00e8s \u00e0<\/a> un serveur de sauvegarde \u00e0 partir de cette machine. L\u00e0 encore, il ne s’agit peut-\u00eatre pas d’une violation, mais les \u00e9l\u00e9ments commencent \u00e0 sembler bizarres. Peu de temps apr\u00e8s, il y a un trafic vers un domaine b\u00e9nin, tel que Google Drive.
\nLes IDS bas\u00e9s sur les anomalies comprendraient qu’il s’agit d’une situation inhabituelle<\/strong>. Le comptable moyen ne sait pas ce qu’est Powershell et hurle de terreur lorsqu’un terminal appara\u00eet, ou le trafic vers Google Drive est courant, mais ces trois choses sentent l’exfiltration, donc la sonnette d’alarme retentit.
\nLes corbeaux d’Odin (bien meilleur nom qu’IDS) ont fait leur travail, mais la r\u00e9ponse demeure.
\nSi l’IDS est connect\u00e9 \u00e0 un SIEM (Security Information and Event Management) comme Pandora, par exemple, il r\u00e9agira en prenant d’\u00e9ventuelles mesures automatiques et en alertant le SOC pour qu’il traite l’incident.
\nVous pouvez par exemple bloquer le trafic sortant du serveur de copie \u00e0 titre pr\u00e9ventif. Vous pouvez \u00e9galement rep\u00e9rer les auteurs de ces actes et leur expliquer qu’une infrastructure informatique bien prot\u00e9g\u00e9e fonctionne comme un \u00c9tat policier…. Et qu’elle vous surveille en permanence. <\/p>\nIDS vs IPS : quelles sont les diff\u00e9rences ?<\/h2>\n
\nPar exemple, un administrateur installe un IPS comme Fortigate, qui, comme l’IDS, d\u00e9tecte quelque chose de suspect, imaginons une attaque zero-day qui n’est \u00e9videmment pas dans les signatures, mais qui a \u00e9t\u00e9 d\u00e9tect\u00e9e comme une anomalie.
\nAu lieu de se contenter de faire un rapport, il agit en appliquant un \u00ab\u00a0patch<\/a> virtuel\u00a0\u00bb qui, pour l’instant, limite les d\u00e9g\u00e2ts, par exemple en coupant le trafic.
\nEt pourquoi ne pas utiliser l’IPS au lieu de l’IDS ? En fait, de nombreux IDS mettent en \u0153uvre des capacit\u00e9s de r\u00e9action plus ou moins importantes<\/strong>, de sorte que la fronti\u00e8re entre IDS et IPS devient de plus en plus floue. Cependant, il n’est pas toujours \u00ab\u00a0pr\u00e9f\u00e9rable\u00a0\u00bb d’avoir un IPS<\/strong> ou d’activer des capacit\u00e9s de r\u00e9ponse, en particulier automatis\u00e9es.
\nPar exemple, dans certaines situations, les actions de l’IPS sur les faux positifs peuvent interrompre des services<\/strong>, ce qui, dans des environnements critiques (imaginez un h\u00f4pital), peut \u00eatre un d\u00e9sastre, m\u00eame si le temps d’arr\u00eat est tr\u00e8s court. Vous devez donc toujours inclure des fonctions IDS dans votre strat\u00e9gie de s\u00e9curit\u00e9, mais vous devez aussi pr\u00e9voir comment r\u00e9agir.
\nTout d\u00e9pend. Un IPS peut \u00eatre id\u00e9al pour une machine dont la tol\u00e9rance \u00e0 l’intrusion est nulle et dont le temps d’arr\u00eat \u00e9ventuel ne met pas la vie en danger, comme un serveur redondant de sauvegarde de donn\u00e9es personnelles.
\nIl est \u00e9vident qu’une combinaison d’IPS et d’IDS peut \u00eatre id\u00e9ale, par exemple en installant l’IPS sur le p\u00e9rim\u00e8tre ext\u00e9rieur pour bloquer les menaces connues et les \u00e9ventuels \u00ab\u00a0zero days\u00a0\u00bb, tout en utilisant un IDS sur le r\u00e9seau interne. <\/p>\nLes meilleures solutions IDS Open Source et commerciales<\/h2>\n
\n\n
\n \n \n \n \n \n \n \n \n \n
– R\u00e8gles personnalisables.
– Faible consommation de ressources.<\/p>\n<\/td>\n\n \n \n \n \n \n
– Il prend en charge les protocoles JSON et crypt\u00e9s (TLS).
– Il est dot\u00e9 du mode IPS.<\/p>\n<\/td>\n\n \n \n \n \n \n
– Flexible et adaptable, mais n\u00e9cessite des connaissances.
– Script personnalis\u00e9.<\/p>\n<\/td>\n\n \n \n \n \n \n
– Architecture client-serveur.
-Utilisation de l’apprentissage automatique.
– Possibilit\u00e9 de cr\u00e9er des r\u00e9ponses actives personnalis\u00e9es \u00e0 l’aide de scripts.<\/p>\n<\/td>\n\n \n \n \n \n \n
– Pr\u00e9vention des menaces en temps r\u00e9el gr\u00e2ce \u00e0 la puissance de Cisco.<\/p>\n<\/td>\n\n \n \n \n \n \n
– D\u00e9tection des menaces bas\u00e9e sur l’IA.
– Capacit\u00e9s locales et multi-cloud.
– Analyse du trafic crypt\u00e9 (SSL\/TLS).<\/p>\n<\/td>\n\n \n Mise en \u0153uvre d’un IDS dans une strat\u00e9gie de s\u00e9curit\u00e9<\/h2>\n