Les systèmes de détection des intrusions (IDS) analysent le trafic réseau pour détecter des signatures correspondant à des cyberattaques connues. Les systèmes de prévention des intrusions (IPS) analysent également les paquets, mais ils peuvent aussi les bloquer en fonction du type d’attaques qu’ils détectent, ce qui contribue à stopper ces attaques.
Comment fonctionnent les systèmes de détection des intrusions (IDS) et de prévention des intrusions (IPS)
Les IDS et les IPS font tous deux partie de l’infrastructure réseau. Les IDS/IPS comparent les paquets de réseau à une base de données de cybermenaces contenant des signatures connues de cyberattaques et repèrent tous les paquets qui concordent avec ces signatures.
La principale différence entre les deux tient au fait que l’IDS est un système de surveillance, alors que l’IPS est un système de contrôle.
L’IDS ne modifie en aucune façon les paquets réseau, alors que l’IPS empêche la transmission du paquet en fonction de son contenu, tout comme un pare-feu bloque le trafic en se basant sur l’adresse IP.
- Les IDS (Intrusion Detection Systems) : analysent et surveillent le trafic réseau pour détecter des signes indiquant que des hackers utilisent une cybermenace connue afin de s’infiltrer dans votre réseau ou y voler des données. Les systèmes d’IDS comparent l’activité réseau en cours avec une base de données d’attaques connues afin de détecter divers types de comportements tels que les violations de la politique de sécurité, les malwares et les scanners de port.
- Les IPS (Intrusion Prevention Systems) : agissent dans la même zone du réseau qu’un pare-feu, entre le monde extérieur et le réseau interne. Les IPS rejettent de façon proactive les paquets réseau en fonction d’un profil de sécurité si ces paquets représentent une menace connue.
De nombreux fournisseurs d’IDS/IPS ont intégré de nouveaux systèmes IPS à des pare-feux, afin de créer une technologie appelée UTM (Unified Threat Management). Cette technologie combine en une seule entité les fonctionnalités de ces deux systèmes similaires. Certains systèmes intègrent dans une même entité les fonctionnalités d’un IDS et d’un IPS.
Les différences entre les IDS et les IPS
Les IDS et les IPS lisent tous deux les paquets réseau et en comparent le contenu à une base de menaces connues. La principale différence entre les deux tient à ce qui se passe ensuite. Les IDS sont des outils de détection et de surveillance qui n’engagent pas d’action de leur propre fait. Les IPS constituent un système de contrôle qui accepte ou rejette un paquet en fonction d’un ensemble de règles.
Avec l’IDS, il est nécessaire qu’un humain ou un autre système prenne ensuite le relais pour examiner les résultats et déterminer les actions à mettre en œuvre, ce qui peut représenter un travail à temps complet selon la quantité quotidienne de trafic généré. L’IDS constitue un très bon outil d’analyse « post-mortem » pour l’équipe CSIRT, qui pourra l’utiliser dans le cadre de ses enquêtes sur les incidents de sécurité.
Pour sa part, l’objectif de l’IPS est de capturer les paquets dangereux et de les retirer avant qu’ils n’atteignent leur cible. Il est plus passif qu’un IDS et exige simplement de mettre régulièrement à jour la base de données pour y intégrer les informations relatives aux nouvelles menaces.
L’efficacité des IDS/IPS ne vaut que par celle de leurs bases de données de cyberattaques. Vous devez les tenir à jour et être prêt à opérer des réglages manuels lorsqu’une nouvelle attaque apparaît et/ou que la signature de l’attaque ne figure pas dans la base de données.
Pourquoi les IDS et IPS sont essentiels à la cybersécurité
Les équipes de sécurité sont confrontées à un risque croissant de fuite de données et d’amendes pour non-conformité. Parallèlement, elles continuent d’être confrontées à des problèmes de contraintes budgétaires et de politique d’entreprise. La technologie IDS/IPS recouvre des tâches spécifiques et importantes en matière de stratégie de cybersécurité :
- Automatisation : les systèmes IDS/IPS sont, dans une large mesure, automatiques, ce qui en fait des candidats parfaits à l’intégration à la pile de sécurité actuelle. Les IPS procurent la tranquillité d’esprit que le réseau est protégé contre les menaces connues, et ce avec des besoins limités en ressources.
- Conformité : dans le cadre du respect de la conformité, il est souvent nécessaire de prouver que vous avez investi dans des technologies et systèmes dédiés à la protection de vos données. La mise en œuvre d’une solution d’IDS/IPS permet de satisfaire une condition de conformité et de réaliser un certain nombre de contrôles de sécurité du CIS. Surtout, les données d’audit constituent un élément essentiel des enquêtes en matière de conformité.
- Application de la politique : les IDS/IPS sont configurables, ce qui contribue à l’application des politiques de sécurité internes au niveau du réseau. Par exemple, si vous n’utilisez qu’un VPN, vous pouvez utiliser l’IPS pour bloquer le trafic provenant d’un autre VPN.
Aller plus loin avec Varonis
Ainsi, les solutions d’IDS/IPS permettent d’assurer efficacement la sécurité des réseaux. Cependant, elles ne permettent pas de protéger les données au sein de l’entreprise. Il convient dès lors, de compléter ce dispositif.
En tant que solution SaaS, Varonis complète les IDS/IPS : cette solution surveille en temps réel l’activité sur les données, qui constitue une couche essentielle dans toute stratégie de cybersécurité. S’appuyant sur l’apprentissage des comportements, La plateforme de sécurité des données Varonis vous alerte avec une pertinence accrue. Par exemple, lorsqu’apparaît une nouvelle attaque de ransomware, il arrive que les IDS/IPS ne disposent pas des signatures nécessaires pour bloquer l’attaque au niveau du réseau. La solution Varonis, de son côté, intègre non seulement une détection des ransomwares à base de signature, mais elle reconnaît également les caractéristiques et le comportement d’une attaque de ransomware (par exemple la modification en un temps très court d’un grand nombre de fichiers) et déclenche automatiquement une alerte pour stopper l’attaque avant qu’elle ne se propage.
L’accompagnement Metsys
Partenaire certifié Varonis, Metsys vous accompagne sur le chemin de la protection de vos données avec la plateforme Varonis.
La connaissance des informations à forte valeur ajoutée de votre entreprise ainsi que des responsabilités liées sont des sujets essentiels. Notre expertise reconnue en gouvernance de la donnée vous permettra d’atteindre ce but pour ensuite définir des stratégies de protection des données claires et adaptées à vos contraintes.
Nos consultants seront ensuite à même de concevoir, déployer et personnaliser votre tableau de bord d’alerting dans le respect des meilleures pratiques et de vos spécificités. Interagissant avec votre environnement, La solution Varonis mettra en œuvre les stratégies de sécurité liées à vos données
Que vous souhaitiez exploiter vous-même Varonis ou externaliser cette tâche, Metsys sera à même de vous accompagner par des sessions de formations ou la mise à disposition d’une équipe prenant l’outil en charge.
Un article Varonis revu par Philippe AUGRAS et Abdelghani HACHOUR.
