🎓 Niveau : 🔴 Avancé
📋 Prérequis : avoir lu IDS, bases TCP/IP, notion de pare-feu
IPS signifie Intrusion Prevention System (« système de prévention d'intrusion »). C'est un IDS qui va plus loin : non seulement il détecte les attaques, mais il les bloque activement en temps réel. La différence fondamentale avec l'IDS : l'IPS est placé sur le chemin du trafic (« en ligne »), il peut donc couper une communication malveillante.
L'IDS a une limite : il alerte, mais il faut un humain pour agir. Or certaines attaques sont trop rapides : un ver se propage en quelques secondes, une injection s'exécute instantanément. Le temps qu'un analyste lise l'alerte, le mal est fait.
Le problème : il faut une réaction automatique et immédiate. C'est la raison d'être de l'IPS — passer de « je vois et j'alerte » à « je vois et je bloque, tout seul, maintenant ».
On choisit un IPS quand la vitesse de réaction prime et qu'on accepte le risque (maîtrisé) de bloquer parfois un trafic légitime par erreur.
- En ligne (inline) : l'IPS est physiquement sur le câble, le trafic le traverse. C'est ce qui lui permet de jeter (drop) un paquet. Un IDS, lui, reçoit seulement une copie.
- Drop / Reject : actions de blocage. Drop = jeter le paquet en silence ; Reject = jeter et prévenir l'émetteur.
- Bloquer la session : couper toute la connexion suspecte (pas seulement un paquet).
- NIPS (Network IPS) : IPS réseau, en ligne, qui filtre le trafic d'un segment.
- HIPS (Host IPS) : IPS sur une machine, qui peut bloquer un processus ou un appel système dangereux.
- NGFW (Next-Generation Firewall) : pare-feu moderne qui intègre souvent un IPS, en plus du filtrage classique.
- Fail-open / Fail-closed : que faire si l'IPS tombe en panne ? Fail-open = laisser passer le trafic (disponibilité prioritaire) ; fail-closed = tout bloquer (sécurité prioritaire). Choix stratégique.
- Latence : comme l'IPS analyse chaque paquet avant de le laisser passer, il ajoute un délai. Il doit être assez puissant pour ne pas ralentir le réseau.
- Interception : tout le trafic passe par l'IPS (il est en ligne, entre deux segments).
- Analyse : mêmes techniques que l'IDS — signatures d'attaques connues + détection d'anomalies.
- Décision en temps réel :
- trafic légitime → laissé passer ;
- trafic malveillant → bloqué immédiatement (drop du paquet, coupure de session, voire blocage de l'adresse IP source).
- Journalisation : l'IPS enregistre l'attaque et l'action prise, et envoie souvent ces logs vers un SIEM.
- Alerte : il alerte aussi (comme un IDS), mais l'action a déjà eu lieu.
Conséquence directe : si l'IPS plante et qu'il est en fail-closed, le réseau s'arrête. Le placement et la robustesse d'un IPS sont donc bien plus critiques que ceux d'un IDS.
graph LR
NET[Internet] --> IPS{IPS en ligne}
IPS -->|trafic propre| LAN[Serveurs internes]
IPS -.->|trafic malveillant DROP| X[bloqué ✋]
IPS -->|logs + alertes| SIEM[SIEM]
À comparer avec l'IDS, qui reçoit une copie du trafic et reste hors du chemin : l'IPS, lui, est le chemin, donc il peut interrompre.
La même PME que pour l'IDS décide de protéger son serveur web public. Elle déploie un NIPS (par ex. Suricata en mode IPS, ou l'IPS intégré à son NGFW) en ligne, juste devant le serveur.
Un attaquant lance une tentative d'exploitation d'une faille connue (signature présente dans la base). Cette fois, l'IPS ne se contente pas d'alerter : il drop les paquets de l'attaque avant qu'ils atteignent le serveur, et bannit l'IP source pour 10 minutes.
L'attaque est neutralisée en millisecondes, sans intervention humaine. L'analyste découvre l'événement après coup dans le SIEM — l'incident a déjà été contenu.
Revers de la médaille : un jour, une mise à jour applicative légitime ressemble par malchance à une signature d'attaque. L'IPS la bloque → le service tombe. D'où l'importance du réglage fin et du mode « audit » avant le mode « blocage ».
- Démarre en mode détection (IDS) avant d'activer le blocage. Observe quelques semaines pour repérer les faux positifs, puis bascule en prévention.
- Choisis consciemment fail-open ou fail-closed selon que tu privilégies disponibilité ou sécurité, et documente ce choix.
- Dimensionne le matériel pour absorber le débit sans ajouter de latence visible.
- Mets les signatures à jour en continu (le « connu » évolue chaque jour).
- Affine les règles : passe en mode « block » uniquement les signatures fiables ; garde les incertaines en simple alerte.
- Place l'IPS aux points stratégiques (périmètre, devant les serveurs critiques, segmentation interne).
- Couple-le à un WAF pour les attaques applicatives web, que l'IPS réseau gère moins finement.
Activer le blocage agressif dès le premier jour sans phase d'observation. Tu vas couper du trafic légitime et créer des pannes. Mode audit d'abord, toujours.
Sous-dimensionner l'IPS : il devient un goulot d'étranglement et ralentit tout le réseau.
Croire que l'IPS remplace le pare-feu ou le WAF. Ce sont des couches complémentaires : pare-feu (qui passe), IPS (contenu malveillant réseau), WAF (attaques web applicatives).
- L'IPS détecte ET bloque en temps réel ; l'IDS détecte et alerte seulement. C'est LA distinction à retenir.
- Il est en ligne (sur le chemin du trafic), ce qui le rend puissant mais critique (panne = impact réseau selon fail-open/closed).
- Bonne méthode : observer en mode détection, régler les faux positifs, puis activer le blocage.
« Voir l'attaque, c'est bien ; l'arrêter avant qu'elle frappe, c'est mieux. » 🔑