Systèmes de détection des intrusions (IDS)

A la question « qu’est ce qu’un système de détection des intrusions ? », il est étonnant de noter que l’on obtient autant de réponses différentes que de personnes à qui on a posé cette question.

Pour certains, il s’agit d’une boîte magique qui détecte, devine et éradique automatiquement toute activité illicite au sein d’un système, alors que pour d’autres une telle tâche ne peut être effectuée que par l’être humain. La réalité doit probablement se trouver quelque part à mi-chemin entre ces deux visions des choses…

La définition proposée ici est la suivante :

« Un système de détection des intrusions est un ensemble de composants logiciels et/ou matériels dont la fonction principale est de détecter et analyser toute tentative d’effraction volontaire ou non et/ou de maintien dans un système d’informations ainsi que toute altération éventuelle de ces données. »

De manière générale, un système de détection des intrusions assure les tâches suivantes :

Détection des techniques de sondage (balayage de ports, prise d’empreintes d’applications, etc.) ;
Détection des tentatives de compromissions de systèmes ;
Détection des activités suspectes internes à l’entreprise ;
Détection des activités virales ;
Audit des fichiers de journaux (logs) en provenance de diverses sources ;
Corrélation de multiples sources d’événements de sécurité.

Comme vous pouvez le constater, le spectre est assez large et des systèmes tels que les firewalls ou les antivirus peuvent rendre un ou plusieurs de ces services, aussi conviendra-t-il de préciser leur rôle par rapport à celui d’un IDS.