Détection d'intrusions

IDS, NIDS, IPS, HIDS

Vocabulaires et terminologies

IDS : Intrusion Detection System

NID : Network Intrusion Detection System

HIDS : Host Intrusion Detection System

False positive : Signifie qu’un système IDS détecte une intrusion là où aucune intrusion réelle n’a été perpétrée

False negative : A l’inverse de « false positive », « false negative » signifie que le système IDS n’a pas détecté une intrusion ayant réussi.

Critères pour le choix d’un IDS

Les critères à prendre en compte sont :

• une base de connaissance des attaques la plus complète possible et mise à jour fréquemment ;

• la capacité à tout détecter (en limitant les fausses alarmes) ;
• une capture exhaustive du trafic réseau lorsque le débit augmente (plus de 100 Mb/s ) ;
• une configuration rapide ;
• une administration facile ;
• une bonne ergonomie ;
• la possibilité d’exécuter une contre-mesure ;
• la possibilité de générer des rapports simples ou exhaustifs, sous divers formats ;
• un flux d’information chiffré et authentifié, entre la console et les agents ;
• la stratégie à long terme du constructeur ;
• le prix du produit ;
• la possibilité de corréler les alertes depuis un hyperviseur.

Positionnement

• Sur les segments réseaux stratégiques

• Périmètre :

  • DMZ

  • Devant / Derrière le FireWall

  • Derrière un serveur d’accès distant

• Interne :

  • Le plus proche des serveurs d’informations critiques

Utilité d’un système IDS

Un IDS n’est efficace que :

1. S’il est constamment à jour : le fonctionnement de l’IDS repose sur une base de signatures qui doit être enrichi constamment pour prendre en compte les nouvelles attaques.

2. S’il est correctement configuré pour son environnement : un IDS mal configuré génère un nombre important d’alertes non pertinents et inexploitable.

3. Si les alertes qu’ils génèrent sont traitées et analysées en permanence.

4. Si les informations sur ces alertes et leur traitement sont facilement accessibles aux exploitants.

5. S’il contribue à l’application rigoureuse de procédures de réponse.

Logiciels commerciaux

Gamme RealSecure: - NetWork Sensor: sonde NIDS - Giga Network Sensor: sonde gigabit NIDS - Server Sensor: agent NDIS et HIDS pour serveur - Desktop Protector (ex BlackICE): FireWall personnel, NIDS, contrôle des applications et contrôle d'intégrité de données pour poste de travail - Guard: sonde IDS installée en coupure sur le réseau - Dragon Server: sonde NIDS  - Dragon Squire: agent HIDS et NIDS - Cisco Secure IDS (ex NetRanger) : sonde NIDS - NetSolar : agent HIDS et NIDS - NetProwler : sonde NIDS - Intruder Alert : agent IDS - NFR Network Intrusion Detection (NFR NID) - NFR Host Intrusion Detection (NFR HID)

Logiciels du domaine public

Snort est le système de détection des intrusions open source le plus répandu. Avec plus de 100 000 installations recensées dans le monde, il est devenu l'une des principales applications de sécurité. Snort dispose de fonctionnalités similaires voire meilleures que celles proposées par des systèmes de détection chers et adhère au modèle open source de distribution publique gratuite. Il a ainsi été rapidement accepté dans le monde de l'entreprise comme dans celui de l'environnement domestique.

Liens intéressants

Ce site présente en temps réel, sous forme d'une cartographie du monde, les attaques les plus fréquentes en cours sur le réseau internet. Les résultats proviennent des remontés d'alertes de plus de 3000 firewalls et sondes de détection d'intrusion localisés sur 6 continents. Intrusion Detection FAQ FAQ: Network Intrusion Detection Systems écrite par Robert Graham CERT® Coordination Center Intruder Detection Checklist RFC 2267 Aujourd’hui, il n’y a pas de norme concernant les solutions de détection d'intrusion. Cependant Un consortium de 60 entreprises, dont ISS, Check Point, Network ICE, etc. , s`est réuni autour du groupe de travail RFC2267 (stade information) DDoS pour lutter contre les attaques de dénis de service.

Coté Livres

Détection des intrusions réseaux Auteur(s): Stephen Northcutt, Judy Novak, Donald Mc Lachlan Editeur: CampusPress 480 pages Les IDS - Les systèmes de détection des intrusions informatiques de Thierry Evangelista Cet ouvrage a pour objectif de vous fournir tous les éléments techniques, organisationnels et juridiques vous permettant de comprendre comment utiliser et exploiter un IDS de manière optimale. Ce livre peut être lu par toute personne disposant de connaissances minimales dans le domaine des réseaux IP et des différents protocoles utilisés pour échanger des informations entre systèmes : administrateur système ou réseaux, directeur informatique, RSSI, étudiant... Il peut également constituer une base de réflexion pour les experts en sécurité qui ont la charge de valider ou exploiter des solutions de gestion des intrusions. Langue : Français Éditeur : Dunod / 01 Informatique (12 février 2004) Collection : InfoPro Format : Broché - 261 pages Nouvelle édition Dimensions (en cm) : 18 x 2 x 25 Référence Snort 2 Auteur(s): Jack Koziol  Éditeur : Campuspress 420 pages Le premier livre en français sur les systèmes open source le plus utilisé pour détecter les intrusions réseaux. Network Intrusion Detection: An Analyst's Handbook (3nd Edition) Auteur(s): Stephen Northcutt, Judy Novak Editeur: New Riders 456 pages (28 août 2002) / 3nd

Accueil | Webmaster  | Plan du site | NewsLetter | Partenaires | e-Voyageur