IDS / IPS (détection et prévention d’intrusion)
IDS · IPS · IDPS · système de détection d’intrusion · système de prévention d’intrusion · sonde de détection · NIDS · HIDS
Systèmes qui analysent le trafic réseau ou l’activité d’une machine pour repérer des attaques : l’IDS alerte, l’IPS bloque en plus.
En pratique
Ils combinent des signatures (motifs d’attaques connues) et la détection d’anomalies (écarts à un comportement habituel). Placé en coupure, l’IPS stoppe une attaque en temps réel, mais un faux positif bloque aussi du trafic légitime : on commence souvent en mode détection avant d’activer le blocage. Le chiffrement généralisé limite ce qu’une sonde réseau peut voir, d’où sa complémentarité avec l’EDR. Les sondes sont aussi précieuses en milieu industriel, où l’on ne peut souvent pas installer d’agent sur les automates.
Lors de la faille Log4Shell, en décembre 2021, le CERT-FR a publié des signatures de détection pour sondes réseau, tout en prévenant que les attaquants pouvaient les contourner par obscurcissement et qu’elles produisaient des faux positifs. La sonde aide à repérer les tentatives ; seul le correctif protège.
