III. LES IDS
III.1. Définition
Tout d'abord, IDS (Intrusion Detection System) signifie
système de détection d'intrusion. Il s'agit d'un
équipement permettant de surveiller l'activité d'un réseau
ou d'un hôte donné, afin de détecter toute tentative
d'intrusion et éventuellement de réagir à cette
tentative.
Pour présenter le concept d'IDS, nous allons tout d'abord
présenter les différentes sortes d'IDS, chacun intervenant
à un niveau différent.
Nous étudierons ensuite leur mode de fonctionnement, c'est
à dire les modes de détection utilisés et les
réponses apportées par les IDS. Enfin, nous détaillerons
les points forts et les points faibles des IDS.
Figure 9 :
Fonctionnement d'un IDS
III.2. Les différentes sortes
d'IDS
Les différents IDS se caractérisent par leur
domaine de surveillance. Celui-ci peut se situer au niveau d'un réseau
d'entreprise, d'une machine hôte, d'une application...
Nous allons tout d'abord étudier la détection
d'intrusion basée sur l'hôte (HIDS), puis basée sur une
application, avant de nous intéresser aux IDS réseaux (NIDS).
III.2.1. La
détection d'intrusion basée sur l'hôte
Les systèmes de détection d'intrusion basés
sur l'hôte ou HIDS (Host IDS) analysent exclusivement l'information
concernant cet hôte. Comme ils n'ont pas à contrôler le
trafic du réseau mais "seulement" les activités d'un hôte,
ils se montrent habituellement plus précis sur les types d'attaques
subies.
De plus, l'impact sur la machine concernée est sensible
immédiatement, par exemple dans le cas d'une attaque réussie par
un utilisateur. Ces IDS utilisent deux types de sources pour fournir une
information sur l'activité de la machine : les logs et les traces
d'audit du système d'exploitation.
Chacun a ses avantages : les traces d'audit sont plus
précises et détaillées et fournissent une meilleure
information alors que les logs qui ne fournissent que l'information essentielle
sont plus petits.
Ces derniers peuvent être mieux contrôlés et
analysés en raison de leur taille, mais certaines attaques peuvent
passer inaperçues, alors qu'elles sont détectables par une
analyse des traces d'audit.
Ce type d'IDS possède un certain nombre d'avantages : il
est possible de constater immédiatement l'impact d'une attaque et donc
de mieux réagir. Grâce à la quantité des
informations étudiées, il est possible d'observer les
activités se déroulant sur l'hôte avec précision et
d'optimiser le système en fonction des activités
observées.
De plus, les HIDS sont extrêmement complémentaires
des NIDS. En effet, ils permettent de détecter plus facilement les
attaques de type "Cheval de Troie", alors que ce type d'attaque est
difficilement détectable par un NIDS. Les HIDS permettent
également de détecter des attaques impossibles à
détecter avec un NIDS, car elles font partie de trafic crypté.
Néanmoins, ce type d'IDS possède également
ses faiblesses, qui proviennent de ses qualités : du fait de la grande
quantité de données générées, ce type d'IDS
est très sensible aux attaques de type DoS, qui peuvent faire exploser
la taille des fichiers de logs.
Un autre inconvénient tient justement à la taille
des fichiers de rapport d'alertes à examiner, qui est très
contraignante pour le responsable sécurité. La taille des
fichiers peut en effet atteindre plusieurs Mégaoctets.
Du fait de cette quantité de données à
traiter, ils sont assez gourmands en CPU et peuvent parfois altérer les
performances de la machine hôte.
Enfin, ils ont moins de facilité à détecter
les attaques de type hôte que les IDS réseaux.
Les HIDS sont en général placés sur des
machines sensibles, susceptibles de subir des attaques et possédant des
données sensibles pour l'entreprise. Les serveurs, web et applicatifs,
peuvent notamment être protégés par un HIDS.
Pour finir, voici quelques HIDS connus: Tripwire, WATCH,
DragonSquire, Tiger,
Security Manager...
Avantages :
· Pouvoir surveiller des événements locaux
jusqu'au host et détecter des attaques qui ne sont pas vues par les
NIDS.
· Marcher dans un environnement dans lequel le trafic de
réseau est encrypté.
· HIDS n'est pas atteint par le réseau
commuté.
· Lors que HIDS marche sur la traînée de
l'audit de SE, ils peuvent détecter les Chevaux de Troie ou les autres
attaques concernant la brèche d'intégrité de logiciel.
Inconvénients :
· HIDS est difficile à gérer, et des
informations doivent être configurées et gérées pour
chaque host surveillé.
· Puisqu'au moins des sources de l'information pour HIDS se
résident sur l'host de la destination par les attaques, l'IDS peut
être attaqué et neutralisé comme une partie de l'attaque.
· HIDS n'est pas bon pour le balayage de réseau tel
que la surveillance qui s'adresse au réseau entier parce que les HIDS ne
voient que les paquets du réseau reçus par ses hosts.
· HIDS peuvent être neutralisés par certaines
attaques de DoS.
· Lorsque les HIDS emploient la traînée de
l'audit du SE comme des sources des informations, la somme de l'information est
immense, alors ils demandent le stockage supplémentaire local dans le
système.
| 
