IDS et IPS : en quoi sont-ils différents ?

Les systèmes de détection des intrusions (IDS) analysent le trafic réseau pour détecter des signatures correspondant à des cyberattaques connues. Les systèmes de prévention des intrusions (IPS) analysent également les paquets, mais ils peuvent aussi les bloquer en fonction du type d’attaques qu’ils détectent, ce qui contribue à stopper ces attaques.

Comment fonctionnent les systèmes de détection des intrusions (IDS) et de prévention des intrusions (IPS)

Les IDS et les IPS font tous deux partie de l’infrastructure réseau. Les IDS/IPS comparent les paquets de réseau à une base de données de cybermenaces contenant des signatures connues de cyberattaques et repèrent tous les paquets qui concordent avec ces signatures.

La principale différence entre les deux tient au fait que l’IDS est un système de surveillance, alors que l’IPS est un système de contrôle.

L’IDS ne modifie en aucune façon les paquets réseau, alors que l’IPS empêche la transmission du paquet en fonction de son contenu, tout comme un pare-feu bloque le trafic en se basant sur l’adresse IP.

• Les IDS (Intrusion Detection Systems) : analysent et surveillent le trafic réseau pour détecter des signes indiquant que des hackers utilisent une cybermenace connue afin de s’infiltrer dans votre réseau ou y voler des données. Les systèmes d’IDS comparent l’activité réseau en cours avec une base de données d’attaques connues afin de détecter divers types de comportements tels que les violations de la politique de sécurité, les malwares et les scanners de port.
• Les IPS (Intrusion Prevention Systems) : agissent dans la même zone du réseau qu’un pare-feu, entre le monde extérieur et le réseau interne. Les IPS rejettent de façon proactive les paquets réseau en fonction d’un profil de sécurité si ces paquets représentent une menace connue.

De nombreux fournisseurs d’IDS/IPS ont intégré de nouveaux systèmes IPS à des pare-feu, afin de créer une technologie appelée UTM (Unified Threat Management). Cette technologie combine en une seule entité les fonctionnalités de ces deux systèmes similaires. Certains systèmes intègrent dans une même entité les fonctionnalités d’un IDS et d’un IPS.

Les différences entre les IDS et les IPS

Les IDS et les IPS lisent tous deux les paquets réseau et en comparent le contenu à une base de menaces connues. La principale différence entre les deux tient à ce qui se passe ensuite. Les IDS sont des outils de détection et de surveillance qui n’engagent pas d’action de leur propre fait. Les IPS constituent un système de contrôle qui accepte ou rejette un paquet en fonction d’un ensemble de règles.

Avec l’IDS, il est nécessaire qu’un humain ou un autre système prenne ensuite le relais pour examiner les résultats et déterminer les actions à mettre en œuvre, ce qui peut représenter un travail à temps complet selon la quantité quotidienne de trafic généré. L’IDS constitue un très bon outil d’analyse « post-mortem » pour l’équipe CSIRT, qui pourra l’utiliser dans le cadre de ses enquêtes sur les incidents de sécurité.

Pour sa part, l’objectif de l’IPS est de capturer les paquets dangereux et de les retirer avant qu’ils n’atteignent leur cible. Il est plus passif qu’un IDS et exige simplement de mettre régulièrement à jour la base de données pour y intégrer les informations relatives aux nouvelles menaces.

*J’insiste sur le fait que l’efficacité des IDS/IPS ne vaut que par celle de leurs bases de données de cyberattaques. Vous devez les tenir à jour et être prêt à opérer des réglages manuels lorsqu’une nouvelle attaque apparaît et/ou que la signature de l’attaque ne figure pas dans la base de données.

Pourquoi les IDS et IPS sont essentiels à la cybersécurité

Les équipes de sécurité sont confrontées à un risque croissant de fuite de données et d’amendes pour non-conformité. Parallèlement, elles continuent d’être confrontées à des problèmes de contraintes budgétaires et de politique d’entreprise. La technologie IDS/IPS recouvre des tâches spécifiques et importantes en matière de stratégie de cybersécurité :

• Automatisation : les systèmes IDS/IPS sont dans une large mesure automatiques, ce qui en fait des candidats parfaits à l’intégration à la pile de sécurité actuelle. Les IPS procurent la tranquillité d’esprit que le réseau est protégé contre les menaces connues, et ce avec des besoins limités en ressources.
• Conformité : dans le cadre du respect de la conformité, il est souvent nécessaire de prouver que vous avez investi dans des technologies et systèmes dédiés à la protection de vos données. La mise en œuvre d’une solution d’IDS/IPS permet de satisfaire une condition de conformité et de réaliser un certain nombre de contrôles de sécurité du CIS. Surtout, les données d’audit constituent un élément essentiel des enquêtes en matière de conformité.
• Application de la politique : les IDS/IPS sont configurables, ce qui contribue à l’application des politiques de sécurité internes au niveau du réseau. Par exemple, si vous n’utilisez qu’un VPN, vous pouvez utiliser l’IPS pour bloquer le trafic provenant d’un autre VPN.

Varonis DatAlert complète les IDS/IPS : alors que la sécurité du réseau est cruciale pour se protéger contre les failles de sécurité — et les solutions d’IDS/IPS remplissent parfaitement ce rôle — Varonis surveille en temps réel l’activité sur les données, ce qui constitue une couche essentielle dans toute stratégie de cybersécurité.

Lorsqu’apparaît une nouvelle attaque de ransomware, il arrive que les IDS/IDP ne disposent pas des signatures nécessaires pour bloquer l’attaque au niveau du réseau. La solution Varonis, de son côté, intègre non seulement une détection des ransomwares à base de signature, mais elle reconnaît également les caractéristiques et le comportement d’une attaque de ransomware (par exemple la modification en un temps très court d’un grand nombre de fichiers) et déclenche automatiquement une alerte pour stopper l’attaque avant qu’elle ne se propage.

Vous voulez voir comment ça marche ? Bénéficiez d’une démonstration individuelle pour découvrir comment Varonis complète vos IDS/IPS pour établir une stratégie forte en matière de cybersécurité.