🎓 Niveau : 🔴 Avancé
📋 Prérequis : bases TCP/IP, notion de paquet réseau, logs système
IDS signifie Intrusion Detection System (« système de détection d'intrusion »). C'est un dispositif qui observe le trafic réseau et/ou l'activité des machines pour repérer les comportements suspects ou malveillants, puis lève une alerte. Point crucial à retenir dès maintenant : un IDS détecte et alerte, mais il ne bloque pas — c'est son grand frère l'IPS qui agit.
Un pare-feu décide qui a le droit d'entrer (« le port 22 est ouvert, le reste fermé »). Mais une fois qu'un flux est autorisé, le pare-feu ne regarde plus son contenu. Or une attaque peut très bien passer par un port légitime : une injection SQL arrive par le port 443 (HTTPS), tout à fait « ouvert ».
Le problème : il faut une caméra de surveillance qui regarde à l'intérieur du trafic autorisé et reconnaît les comportements anormaux. C'est exactement le rôle de l'IDS.
L'IDS existe parce que bloquer ne suffit pas : il faut aussi voir ce qui se passe, garder une trace, et alerter une équipe humaine capable d'analyser et de réagir. On choisit la détection seule (plutôt que le blocage) quand on veut éviter tout risque de couper un trafic légitime par erreur.
- Intrusion : toute tentative d'accès, d'utilisation ou de dégradation non autorisée d'un système.
- NIDS (Network IDS) : IDS placé sur le réseau, il analyse les paquets qui circulent (souvent via un port miroir / SPAN d'un switch).
- HIDS (Host IDS) : IDS installé sur une machine ; il surveille les fichiers système, les logs, les processus de cet hôte précis.
- Signature : « empreinte » d'une attaque connue (suite d'octets, motif). La détection par signature compare le trafic à une base de signatures, comme un antivirus.
- Détection par anomalie : l'IDS apprend ce qu'est le trafic « normal », puis alerte sur tout écart marqué (pic inhabituel, port jamais utilisé…).
- Faux positif : alerte déclenchée alors qu'il n'y a pas d'attaque. Trop de faux positifs = l'équipe finit par ignorer les alertes (« fatigue d'alerte »).
- Faux négatif : une vraie attaque qui passe inaperçue. C'est le pire cas.
- Port miroir (SPAN) : fonction d'un switch qui recopie tout le trafic vers un port d'écoute, pour que le NIDS puisse l'analyser sans être sur le chemin des données.
- Collecte : le NIDS reçoit une copie du trafic (port miroir / TAP) ; le HIDS lit logs, fichiers et appels système de sa machine.
- Analyse : chaque paquet / événement est comparé aux signatures connues et/ou au modèle de comportement normal.
- Corrélation : l'IDS regroupe des indices (ex. 1000 tentatives de connexion en 10 s = scan de ports).
- Alerte : s'il détecte quelque chose, il génère une alerte (log, e-mail, envoi vers un SIEM). Il n'interrompt pas la communication.
- Investigation humaine : un analyste examine l'alerte, confirme ou écarte, et décide de la réaction.
Comme l'IDS est hors du chemin des données (en écoute passive), une panne de l'IDS ne coupe pas le réseau. C'est un avantage majeur de la détection seule.
graph LR
NET[Internet] --> FW[Pare-feu]
FW --> SW[Switch]
SW --> LAN[Serveurs internes]
SW -. port miroir copie du trafic .-> IDS[NIDS écoute passive]
IDS -->|alerte| SIEM[SIEM / Analyste]
IDS -. ne bloque pas .-x NET
L'IDS reçoit une copie du trafic ; il observe mais ne se trouve pas sur le câble principal. Il ne peut donc qu'alerter.
Dans une PME, un NIDS (par ex. Suricata ou Snort en mode détection) écoute le trafic via le port miroir du switch principal.
Un soir, un poste interne infecté commence à scanner tout le réseau pour trouver des partages ouverts. Le NIDS reconnaît le motif « scan horizontal » et envoie une alerte au SIEM. L'analyste de permanence reçoit la notification, identifie le poste 192.168.10.42, l'isole manuellement et lance une analyse antivirus.
Le réseau n'a jamais été coupé automatiquement : aucun service légitime n'a été interrompu, et l'humain a gardé la décision. C'est le compromis assumé de l'IDS : visibilité maximale, action manuelle.
- Place les capteurs aux bons endroits : en bordure (juste derrière le pare-feu) ET sur les segments internes sensibles.
- Mets à jour les signatures très régulièrement : un IDS avec des signatures de l'an dernier rate les attaques récentes.
- Règle finement les seuils pour limiter les faux positifs, sinon l'équipe se lasse et ignore tout.
- Envoie les alertes vers un SIEM pour corréler avec d'autres sources et garder l'historique.
- Combine signature + anomalie : les signatures attrapent le connu, l'anomalie aide pour l'inconnu.
- Déchiffre ou inspecte le TLS là où c'est possible (sinon le NIDS est aveugle au contenu HTTPS chiffré).
Croire que l'IDS protège activement. Non : il alerte. Sans humain ou automatisation derrière, l'alerte ne sert à rien. Pour bloquer, il faut un IPS.
Noyer les analystes sous les faux positifs mal réglés. Résultat : la vraie alerte se perd dans le bruit (« le garçon qui criait au loup »).
Oublier que le NIDS est aveugle au trafic chiffré non déchiffré. Une grande partie du web étant en HTTPS, prévois une stratégie d'inspection.
- Un IDS détecte et alerte sur les activités suspectes, sans bloquer (différence clé avec l'IPS).
- Deux familles : NIDS (réseau, en écoute passive) et HIDS (sur une machine).
- Sa valeur dépend des signatures à jour, du réglage des seuils et d'une équipe qui traite les alertes.
« Détecter, c'est déjà voir l'invisible ; bloquer, c'est une autre histoire. » 🔑