Résumé
Un système de prévention des intrusions (IPS) est un outil de sécurité réseau actif en permanence qui détecte et neutralise automatiquement les menaces, qu’il s’agisse de signatures d’attaque connues ou d’anomalies de trafic inhabituelles, sans attendre l’intervention humaine. Il s’intègre en ligne derrière votre pare-feu, inspecte chaque paquet et peut être associé à des outils complémentaires tels qu’un système de détection d’intrusion (IDS) ou une plateforme de gestion unifiée des menaces (UTM) afin de mettre en place une stratégie de défense plus complète.
Qu’est-ce qu’un système de prévention des intrusions (IPS) ?
Un système de prévention des intrusions (ou IPS) surveille votre réseau en continu, à la recherche de signes d’intrusion ou d’attaque. Lorsqu’une activité suspecte est détectée, vous recevez une notification pendant que le système prend des mesures pour résoudre le problème.
Une attaque implique généralement une vulnérabilité de sécurité. Vous ne savez peut-être pas qu’il est présent, et même si c’est le cas, vous pouvez être réticent à appliquer un correctif qui pourrait aggraver la situation.
Mais si vous attendez avant d'appliquer un correctif, ou si vous ne réagissez pas immédiatement à une brèche, vous pourriez permettre à des hackers de prendre le contrôle de votre système. Ils pourraient désactiver tous les droits et autorisations, et il est possible qu'ils exigent le paiement d'une lourde rançon avant de rétablir votre service.
Un IPS n’attend pas votre réaction. Lorsqu’une menace apparaît, le système agit pour la bloquer.
Comment fonctionne un système de prévention des intrusions ?
Un IPS est placé en ligne, généralement juste derrière votre pare-feu. Chaque paquet doit le traverser et, lors de son passage, chaque paquet est inspecté. Lorsqu’une anomalie est détectée, l’administrateur informatique est notifié. Parallèlement, l’IPS neutralise la menace.
Travailler dans l’environnement informatique actuel est particulièrement stressant. Près de 30 % des personnes interrogées déclarent avoir été confrontées à des maladies liées au stress. Et 40 % ont indiqué avoir manqué des moments avec leurs proches en raison de leur travail.
Un IPS ne peut pas éliminer tout le stress au travail. Mais le système agit en permanence pour se prémunir contre une intrusion. Une fois la configuration terminée, il n’est pas nécessaire d’intervenir à chaque détection de problème. Le système fonctionnera comme prévu, que vous soyez disponible pour aider ou non.
Un IPS est généralement conçu pour détecter les attaques en fonction :
- Signature. Les attaques connues et réussies présentent un code ou une signature reconnaissable. Le système reconnaît ces marqueurs et, lorsqu’ils sont détectés dans votre trafic, des réactions s’enclenchent.
- Anomalies. Le système échantillonne le trafic et recherche des épisodes qui semblent d’une manière ou d’une autre différents ou inhabituels. Tout écart par rapport à la référence déclenche une réponse.
Les deux méthodes présentent des avantages et des inconvénients, comme l’illustre le tableau ci-dessous.
| Méthode de détection | Forces | Faiblesses |
|---|---|---|
| Basé sur la signature | Analyse le trafic rapidement ; peu de faux positifs | Moins efficace pour détecter les menaces nouvelles ou inconnues |
| Basé sur l’anomalie | Meilleure détection des nouvelles menaces ; protection avancée | Taux de faux positifs plus élevé |
Comment un IPS réagit-il lorsqu’il détecte une menace ?
Lorsque l’IPS détecte un problème, il réagit en mettant fin à la source du trafic. Ensuite, le système reconfigure le pare-feu afin de prévenir une future attaque, puis il parcourt le réseau pour supprimer toute trace de code malveillant. Toutes les actions effectuées sont consignées pour que vous puissiez les examiner.
Comment un IPS fonctionne-t-il en complément d’autres systèmes de sécurité ?
Un IPS peut fonctionner de manière autonome, analyser votre réseau et intervenir si nécessaire. Mais il n’est pas rare que des équipes comme la vôtre associent un IPS à d’autres types de protections.
Comment fonctionne la combinaison d’un IPS et d’un IDS ?
L’une de ces combinaisons est un IPS/IDS. Un système de détection d’intrusion (IDS) analyse également votre réseau à la recherche d’acteurs malveillants. Mais lorsqu’un problème est détecté, un IDS se contente de vous en informer. Aucune mesure corrective n’est prise, sauf si vous les programmez vous-même.
Combiner un IPS et un IDS peut permettre d’éliminer les risques tout en autorisant les connexions essentielles sans interférence.
Si certaines entreprises privilégient ce type de combinaison, d’autres finissent par ressentir une lassitude face à la multiplication des solutions. En moyenne, les entreprises utilisent 75 produits de sécurité différents sur leurs serveurs. Il est presque impossible de répondre à chaque alerte et demande lorsque de nombreux programmes sont en cours d’utilisation.
Qu’est-ce qu’une plateforme de gestion unifiée des menaces (UTM) ?
Les programmes unifiés de gestion des menaces (ou UTM) regroupent de nombreux dispositifs différents, notamment :
- IDS
- IPS
- pare-feux,
- Analyses antivirus
- Réseau privé virtuel (VPN)
Un tableau de bord offre une vue complète de l’état de la sécurité pour l’entreprise, et les alertes sont également reçues via une plateforme unifiée. Pour les personnes lassées par la multiplication des connexions, un UTM pourrait constituer une solution idéale.
Ensemble de solutions Okta
Chez Okta, nous utilisons des solutions axées sur l’identité pour accompagner votre IPS. Avec notre accompagnement, vous pouvez à la fois prévenir et vous protéger contre de futures cyberattaques. Nous veillons à ce que votre système vous apporte uniquement ce dont vous avez besoin, sans superflu. En savoir plus.
Foire aux questions (FAQ)
Quelle est la différence entre un système de prévention des intrusions et un système de détection des intrusions ?
Un système de prévention des intrusions (IPS) détecte et bloque activement les menaces en temps réel sans intervention humaine, tandis qu’un système de détection des intrusions (IDS) se limite à surveiller et à alerter les administrateurs en cas d’activité suspecte — laissant la réponse entièrement à l’utilisateur.
Où un IPS est-il généralement placé dans un réseau ?
Un IPS est placé en ligne, directement derrière le pare-feu, de sorte que chaque paquet réseau doit passer par lui pour être inspecté avant de poursuivre vers sa destination.
Quelles sont les deux principales méthodes utilisées par un IPS pour détecter les menaces ?
Un IPS utilise la détection basée sur les signatures, qui identifie les modèles d’attaque connus, ainsi que la détection basée sur les anomalies, qui signale le trafic s’écartant d’une référence établie. La détection basée sur les signatures est plus rapide et génère moins de faux positifs, tandis que la détection basée sur les anomalies est mieux adaptée pour identifier des menaces nouvelles ou inconnues jusqu’alors.
Que se passe-t-il après qu’un IPS détecte une menace ?
Une fois une menace identifiée, l’IPS met fin à la source de trafic suspecte, reconfigure le pare-feu pour éviter toute récurrence, supprime tout code malveillant du réseau et consigne toutes les actions effectuées pour qu’elles puissent être examinées par l’administrateur.
Qu’est-ce qu’une plateforme de gestion unifiée des menaces et quel est le lien avec un IPS ?
Une plateforme de gestion unifiée des menaces (UTM) regroupe plusieurs outils de sécurité, notamment un IPS, un IDS, des pare-feu, des analyses antivirus et un VPN, au sein d’un seul tableau de bord. Elle est conçue pour réduire la complexité et la lassitude liée aux alertes qui résultent de la gestion de dizaines de produits de sécurité distincts.
Un IPS peut-il éliminer à lui seul tous les risques de sécurité ?
Bien qu’un IPS offre une protection continue et automatisée, il ne peut pas éliminer tous les risques. Elle est particulièrement efficace lorsqu’elle est associée à des outils complémentaires tels qu’un IDS ou une plateforme UTM, qui offrent ensemble une couverture plus large et des options de réponse plus flexibles.
Références
Planifier l’application des correctifs de sécurité pour une disponibilité optimale. (2002). 2002 LISA XVI.
Le travail en informatique devient-il plus stressant, ou est-ce à cause des Millennials ? (mai 2015). Computerworld.
Focus cybersécurité : détection basée sur les signatures ou sur les anomalies. Center for Internet Security.
Défense en profondeur : réduire les dépenses, privilégier la consolidation. (mars 2016). CSO.
Comment fonctionne un système de prévention des intrusions ?
Un IPS est placé en ligne, généralement juste derrière votre pare-feu. Chaque paquet doit le traverser et, lors de son passage, chaque paquet est inspecté. Lorsqu’une anomalie est détectée, l’administrateur informatique est notifié. Parallèlement, l’IPS neutralise la menace.
Travailler dans l’environnement informatique actuel est particulièrement stressant. Près de 30 % des personnes interrogées déclarent avoir été confrontées à des maladies liées au stress. Et 40 % ont indiqué avoir manqué des moments en famille à cause du travail.
Un IPS ne peut pas éliminer tout le stress au travail. Mais le système agit en permanence pour se prémunir contre une intrusion. Une fois la configuration terminée, il n’est pas nécessaire d’intervenir à chaque détection de problème. Le système fonctionnera comme prévu, que vous soyez disponible pour aider ou non.
Un IPS est généralement conçu pour détecter les attaques en fonction :
- Signature. Les attaques connues et réussies présentent un code ou une signature reconnaissable. Le système reconnaît ces marqueurs et, lorsqu’ils sont détectés dans votre trafic, des réactions s’enclenchent.
- Anomalies. Le système échantillonne le trafic et recherche des épisodes qui semblent d’une manière ou d’une autre différents ou inhabituels. Tout écart par rapport à la référence déclenche une réponse.
Les deux méthodes présentent des atouts et des limites. Un système basé sur les signatures analyse le trafic rapidement, ce qui entraîne peu de faux positifs. Cependant, les systèmes basés sur l’analyse des anomalies détectent plus efficacement les nouvelles menaces. Cette protection avancée peut s’accompagner d’un taux de faux positifs plus élevé.
Lorsque l’IPS détecte un problème, il réagit en mettant fin à la source du trafic. Ensuite, le système reconfigure le pare-feu afin de prévenir une future attaque, puis il parcourt le réseau pour supprimer toute trace de code malveillant. Toutes les actions effectuées sont consignées pour que vous puissiez les examiner.
Sécurité IPS et autres systèmes
Un IPS peut fonctionner de manière autonome, analyser votre réseau et intervenir si nécessaire. Mais il n’est pas rare que des équipes comme la vôtre associent un IPS à d’autres types de protections.
L’une de ces combinaisons est un IPS/IDS. Un système de détection d’intrusion (IDS) analyse également votre réseau à la recherche d’acteurs malveillants. Mais lorsqu’un problème est détecté, un IDS se contente de vous en informer. Aucune mesure corrective n’est prise, sauf si vous les programmez vous-même.
Combiner un IPS et un IDS peut permettre d’éliminer les risques tout en autorisant les connexions essentielles sans interférence.
Si certaines entreprises privilégient ce type de combinaison, d’autres finissent par ressentir une lassitude face à la multiplication des solutions. En moyenne, les entreprises utilisent 75 produits de sécurité différents sur leurs serveurs. Il est presque impossible de répondre à chaque alerte et demande lorsque de nombreux programmes sont en cours d’utilisation.
Les programmes unifiés de gestion des menaces (ou UTM) regroupent de nombreux dispositifs différents, notamment :
- IDS
- IPS
- pare-feux,
- Analyses antivirus
- Réseau privé virtuel (VPN)
Un tableau de bord offre une vue complète de l’état de la sécurité pour l’entreprise, et les alertes sont également reçues via une plateforme unifiée. Pour les personnes lassées par la multiplication des connexions, un UTM pourrait constituer une solution idéale.
Ensemble de solutions Okta
Chez Okta, nous utilisons des solutions axées sur l’identité pour accompagner votre IPS. Avec notre accompagnement, vous pouvez à la fois prévenir et vous protéger contre de futures cyberattaques. Nous veillons à ce que votre système vous apporte uniquement ce dont vous avez besoin, sans superflu. En savoir plus.
Références
Planifier l’application des correctifs de sécurité pour une disponibilité optimale. (2002). 2002 LISA XVI.
Le travail en informatique devient-il plus stressant, ou est-ce à cause des Millennials ? (mai 2015). Computerworld.
Focus cybersécurité : détection basée sur les signatures ou sur les anomalies. Center for Internet Security.
Défense en profondeur : réduire les dépenses, privilégier la consolidation. (mars 2016). CSO.
