15
Chapitre2
Les systèmes de détection d'intrusion
Introduction
Avec l'arrivée de l'Internet, est apparue
l'interconnexion planétaire des réseaux avec pour corollaire une
rapidité de plus en plus grande de diffusion et d'acquisition de toute
forme d'information. Parallèlement, des menaces de tous genres sont
apparues et se sont développées. On estime aujourd'hui à
moins de quatre (04) minutes le temps moyen pour qu'un ordinateur non
protégé connecté à Internet subisse une tentative
d'intrusion ou soit contaminé par un programme malicieux. Pour
détecter les attaques que peut subir un système, il est
nécessaire d'avoir un logiciel spécialisé dont le
rôle serait de surveiller les données qui transitent sur ce
système, et qui serait capable de réagir si des données
semblent suspectes. Communément appelé un IDS, les
systèmes de détection d'intrusion conviennent parfaitement pour
réaliser cette tâche[17].
Dans ce chapitre nous allons décrire les
fonctionnalités de base des systèmes de détection
d'intrusion.
2.1 Systèmes de détection
d'intrusion
Un système de détection d'intrusion est un
dispositif ou une application logicielle qui surveille un réseau ou des
systèmes pour déceler toute activité malveillante ou toute
violation de politique de sécurité. Toute activité
malveillante ou violation est généralement signalée
à un administrateur ou est recueillie de façon centralisée
au moyen d'un système de gestion des informations et des
événements de sécurité (SIEM). Un système
SIEM combine des sorties provenant de sources multiples et utilise des
techniques de filtrage des alarmes pour distinguer les activités
malveillantes des fausses alarmes[18].
2.1.1 Choix du placement d'un IDS
Il existe plusieurs endroits stratégiques où il
convient de placer un IDS. La figure 2.1 illustre un
réseau local ainsi que les trois positions que peut y prendre un IDS:
Chapitre 2. Les systèmes de détection d'intrusion
2.1. Systèmes de détection d'intrusion
16
FIGURE 2.1 - Choix d'emplacement d'un système de
détection d'intrusion
Source :
http://www-igm.univ-mlv.fr/~dr/XPOSE2004/IDS/IDSSnort.html
Le placement des IDS va dépendre de la politique de
sécurité définie dans le réseau. Mais il existe des
positions qu'on peut qualifier de standards, par exemple il serait
intéressant de placer des IDS:
· Dans la zone démilitarisée (position
2)(attaques contre les systèmes publics).
· Dans le (ou les) réseau(x) privé(s)
(position 3) (intrusions vers ou depuis le réseau interne).
· Sur la patte extérieure du firewall (position
1)(détection de signes d'attaques parmi tout le tra-ficentrant et
sortant, avant que n'importe quelle protection intervienne).
| 
