Définition des systèmes de détection d'intrusion & Fonctionnement des surveillants IDS

Un système de détection d'intrusion (ou IDS) est un formulaire de logiciel qui reste actif 24 heures sur 24 pour repérer les activités malveillantes ou inhabituelles au sein du réseau. L'installation d'un tel produit peut constituer une étape exceptionnelle dans la protection de votre entreprise contre les pirates informatiques, les intrus et autres.

Un IDS traditionnel ne peut pas corriger ce que les services informatiques découvrent. Cette tâche incombe plutôt aux systèmes de prévention des intrusions. Par comparaison, un IDS envoie les anomalies à un autre programme (ou à un humain) pour qu'il les évalue et les traite. 

Les programmes de sécurité IDS ne sont pas nouveaux. Les premiers formulaires ont été élaborés dans les années 1980. Mais les menaces évoluent, tout comme les systèmes qui les protègent. 

Nous verrons comment fonctionne un IDS et comment l'installer correctement. Nous vous présenterons également quelques risques et avantages, afin que vous puissiez déterminer s'il s'agit vraiment de la solution que vous recherchez.

Comment fonctionne la détection des intrusions ?

Sur l'ensemble des entreprises actuellement ouvertes aux États-Unis, 14 millions sont vulnérables à un piratage. Les grandes entreprises sont manifestement menacées. Mais même les petites entreprises peuvent attirer les voleurs et les programmeurs malveillants. Un IDS devrait vous aider à détecter un problème à un stade précoce, avant que les dégâts ne soient trop importants. 

Il existe deux principaux types d'IDS.

• NIDS : Un système de détection des intrusions dans le réseau surveille tout ce qui entre ou sort d'un terminal sur le réseau. 
• HIDS : Un système de détection d'intrusion sur l'hôte surveille un terminal individuel (ou hôte) au sein du réseau. Les services informatiques analysent le trafic entrant et sortant. 

Comment un IDS détecte-t-il un problème au sein d'un modèle de trafic ? Deux principaux types de détection sont disponibles. Votre système peut signaler des problèmes en fonction de

• Signatures. L'IDS compare les mouvements au sein de votre système à une vaste base de données de techniques de piratage connues. Essentiellement, le programme tente de déterminer si ce qui se passe actuellement sur votre système a déjà porté préjudice à quelqu'un dans le passé. 
• Anomalies. Le système compare l'action en cours à ce qui s'est passé au même endroit dans le passé. Un pic soudain d'activité, ou une chute brutale, peut être tout à fait innocent. Mais l'informatique peut aussi être le signe d'un problème. 

Quel que soit le type d'IDS que vous avez et le type de détection que vous utilisez, les solutions ne résident pas dans l'IDS. Ces programmes ne peuvent pas interrompre le trafic, fermer les trappes ou nettoyer les dégâts. 

Tout comme un détecteur de fumée ne peut pas éteindre un incendie, un IDS ne peut pas arrêter une attaque en cours. Tout ce que ces programmes peuvent faire, c'est vous avertir d'un problème.

Où doit-on installer un système de détection d'intrusion ?

Votre réseau comporte de nombreuses entrées et sorties. Vous en avez besoin pour que les données puissent entrer et sortir librement. Mais chacun d'entre eux constitue une vulnérabilité et, si vous en avez plusieurs, il peut être difficile de trouver le bon endroit pour installer votre système de détection d'intrusion. 

Vous pouvez placer votre IDS :

• Derrière le pare-feu. Toute entreprise, quelle que soit sa taille ou sa configuration, doit disposer d'un pare-feu. Installez un IDS juste derrière votre pare-feu pour surveiller de près le trafic entrant dans votre système. 
• Au sein de votre pare-feu. Intégrer les deux systèmes pour assurer la surveillance des attaques dès leur entrée dans le réseau. 
• Sur votre réseau. Cette approche permet de s'assurer qu'une attaque au sein de votre serveur ne se propage pas. 

Analysez les attaques passées, ainsi que vos risques actuels, pour déterminer le choix de placement qui vous convient le mieux. Avec le temps, vous constaterez peut-être que vous devez déplacer l'IDS pour obtenir le niveau de protection le plus élevé. 

En quoi un IDS est-il différent des autres méthodes de sécurité ?

Il existe de nombreux systèmes de sécurité et, bien qu'ils fonctionnent souvent ensemble, il n'est pas toujours facile de les distinguer dans votre esprit. 

Un IDS est différent de :

• Un pare-feu. Quelqu'un doit-il entrer dans le réseau ? Un pare-feu répond à cette question. Les règles définissent qui doit entrer et ce qui doit se passer pendant la visite. Un pare-feu ne vous avertit pas d'un problème comme le fait un IDS. Au lieu de cela, un pare-feu suit simplement les règles que vous avez définies. 
• Un IPS. Un système de prévention des intrusions (IPS ) détecte les problèmes et les résout. Un tel système est un peu plus sophistiqué qu'un IDS. Vous recevrez peut-être encore une alerte IPS en cas de problème, mais vous saurez que les solutions sont déjà en place. Avec un IDS, vous n'avez pas cette assurance. 
• Un IDPS. Les systèmes de détection et de prévention des intrusions (IDPS) identifient les problèmes, les signalent et s'efforcent d'empêcher qu'ils ne se reproduisent. Un tel système peut mettre en évidence des failles dans vos plans qui vous rendent vulnérable à une attaque. Un IDS standard vous oblige à faire un travail de détective pour découvrir la source d'un problème. 

Les programmes de sécurité sont accompagnés de nombreux acronymes et il est facile de les confondre. Mais en général, considérez un IDS comme un outil utile que vous associez à votre propre intelligence pour protéger votre entreprise. Considérez les autres produits comme des outils qui peuvent vous faciliter la tâche.

Avantages et inconvénients des IDS

Les pirates informatiques sont prolifiques. Rien qu'en décembre 2020, 14 piratages connus ont eu lieu. Dans l'une d'entre elles, le pirate a demandé 1 million de dollars en bitcoins.

En l'absence de défenses adéquates, une attaque de ce type est probable. Et si vous ne surveillez pas le trafic, l'attaque peut durer des mois, voire des années. Plus l'intrus reste longtemps dans votre système, plus vous risquez de subir des dommages catastrophiques. 

Mais même avec un IDS en place, un hacker peut passer à travers votre web de protection élaborée via :

• Masquage. Les serveurs proxy permettent de dissimuler très facilement la source d'une attaque. 
• Partage. Le pirate informatique peut répartir le travail entre plusieurs terminaux et utilisateurs. Il est plus difficile de voir les dégâts d'un coup d'œil. 
• Fractionnement. Un site hacker peut fragmenter les paquets pour éviter d'être détecté. 

Votre IDS peut également être soumis à des limitations connues, comme par exemple :

• Logiciel obsolète. Si l'IDS compare votre trafic à des attaques antérieures datant de plusieurs mois ou années, vous risquez de manquer des signaux de versions plus récentes. 
• Problèmes de décryptage. La plupart des systèmes ne peuvent pas évaluer les paquets cryptés. 
• Mauvaises pratiques. Plus de la moitié des petites et moyennes entreprises attaquées ferment leurs portes dans les six mois. Ils ne développent pas d'étapes suivantes pour les guider lorsqu'une attaque est en cours. Sans ces règles, ils peuvent constater qu'ils sont confrontés à un problème, mais ils n'ont aucune idée de la manière de le résoudre. 
• Manque de ressources humaines. Quelqu'un doit être disponible pour examiner chaque alerte, y compris les faux positifs. Un IDS produit des tonnes et des tonnes de données, et un être humain doit en examiner chaque élément. 

Néanmoins, avec des piratages toutes les 39 secondes, les entreprises ne peuvent pas se permettre d'ignorer les avantages et de se concentrer uniquement sur les risques. Un IDS fournit un grand nombre de données précieuses que vous pouvez utiliser pour protéger votre entreprise. Si vous n'utilisez pas l'informatique, vous laissez la porte grande ouverte aux pirates informatiques.

L'avenir de l'IDS 

Les entreprises sont conscientes des limites d'un système d'identification standard. Certains réagissent en construisant des produits plus grands et meilleurs pour leurs clients. 

D'ici un an ou deux, de nouvelles solutions IDS pourront être proposées avec une charge administrative réduite. Elles peuvent s'appuyer sur le site machine learning pour réduire le risque de faux positifs, de sorte que le personnel ait moins de choses à examiner chaque jour. Les fournisseurs peuvent les mettre à jour simultanément, de sorte que le système dispose toujours d'informations actualisées sur les nouvelles demandes d'authentification.

En savoir plus sur la différence entre IDS et IPS.

Références

14 millions d'entreprises américaines sont exposées au risque de piratage informatique. (juillet 2017). CNBC. 

Pourquoi chaque entreprise a besoin d'un pare-feu. (novembre 2018), Phoenix Business Journal. 

Incidents cybernétiques importants. Centre d'études stratégiques et internationales. 

60 % des entreprises échouent en 6 mois pour cette raison (l'informatique n'est pas ce que vous pensez). (Mai 2017). Inc. 

Une attaque de pirates informatiques toutes les 39 secondes. (février 2017). La sécurité.