Chapitre 2. Les systèmes de détection d'intrusion
2.2. Systèmes de prévention d'intrusion
22
2.2 Systèmes de prévention
d'intrusion
Les systèmes de prévention des intrusions
(IPS), également connus sous le nom de systèmes de
détection et de prévention des intrusions (IDPS), sont des
dispositifs de sécurité réseau qui surveillent les
activités du réseau ou du système pour détecter
toute activité malveillante. Les principales fonctions des
systèmes de prévention des intrusions sont d'identifier les
activités malveillantes, d'enregistrer des informations sur ces
activités, de les signaler et de tenter de les bloquer ou de les
arrêter[12].
2.2.1 Classification des IPS
Les systèmes de prévention des intrusions peuvent
être classés en quatre types différents[7] :
· Système de prévention des
intrusions en réseau (NIPS) : surveille l'ensemble du
réseau à la recherche de trafic suspect en analysant
l'activité du protocole.
· Système de prévention des
intrusions sans fil (WIPS) : surveille un réseau sans fil pour
détecter tout trafic suspect en analysant les protocoles de
réseau sans fil.
· Analyse du comportement du réseau (NBA)
: examine le trafic réseau pour identifier les menaces qui
génèrent des flux de trafic inhabituels, telles que les attaques
par déni de service distribué (DDoS), certaines formes de
logiciels malveillants et les violations de règles.
· Système de prévention des
intrusions basé sur l'hôte (HIPS) : un logiciel
installé qui surveille l'activité suspecte d'un seul hôte
en analysant les événements qui se produisent sur cet hôte.
Il est capable de reporter des alertes ou d'y réagir lui-même.
les systèmes de prévention des intrusions (IPS)
utilisent les mêmes architectures que les systèmes des
détections d'intrusions (IDS). Car un IPS est juste un IDS
améliorer capable de détecter et bloquer une intrusion.
2.2.2 Méthodes de détection des IPS
La majorité des systèmes de prévention
des intrusions utilisent l'une des trois méthodes de détection
suivantes:
· Détection basée sur les
signatures: L'IPS basé sur les signatures surveille les paquets
dans le réseau et compare avec les modèles d'attaque
pré-configurés et prédéterminés connus sous
le nom de signatures.
· Détection statistique basée sur
les anomalies : Un IPS basé sur les anomalies surveillera le
trafic réseau et le comparera à une base de
référence établie. La ligne de base identifiera ce qui est
"normal" pour ce réseau. quel type de bande passante est
généralement utilisé et quels protocoles sont
utilisés. Elle peut cependant déclencher une alarme de faux
positif pour une utilisation légitime de la bande passante si les lignes
de base ne sont pas configurées intelligemment.
· Détection d'analyse de protocole
dynamique Cette méthode identifie les déviations des
états du protocole en comparant les événements
observés avec des profils prédéterminés de
définitions généralement acceptées de
l'activité bénigne[12].
| 
