Approche par scénario - 2

3- Analyse heuristique et détection d'anomalies

Les méthodes dites de détection d'anomalies sont encore plus difficiles à catégoriser que les deux précedentes. Outre l'ambiguïté que soulève le terme anomalie, ces méthodes relèvent à la fois de l'analyse protocolaire et de l'approche comportementale (détaillée ci-dessous). La détection d'anomalies s'appuie grandement sur l'analyse heuristique.

Les méthodes d'analyse heuristique sont issues des technologies utilisées par les antivirus. Le concept a été introduit au début des années 1990 par les chercheurs de ThunderBYTE; le principe est de détecter les virus d'origine inconnue (notamment les macrovirus) par leur mode de foncitonnement et non pas au moyen d'une signature alphanumérique.

Le terme a ensuite été repris par divers éditeurs de logiciels IDS mais on ne peut pas vraiment considérer qu'il s'agisse d'une nouvelle technique de détection à part entière. Les techniques heuristiques sont parfois appelées « détection d'anomalies » par certains éditeurs. Encore faut il se mettre d'accored sur la définition d'une anomalie! Les spécialistes n'aiment pas trop ce terme car, dans une certaine mesure, tout événement généré par un IDS est relatif à une nomalie.

La détection des scans de ports est un bon exemple de détection heuristique : quand le nombre de sessions à destination d'un port donné pendant un intervalle de temps prédéfini dépasse un seuil, une alarme est générée. La règle peut être affinée en corrélant cet événement en fonciton des adresses IP sources utilisées afin de détecter des scans de prots distribués par exemple.

Par ailleurs, si nous prenons l'exemple de la comprommission d'un système au moyen d'un cheval de Troie tel que Back Orifice, la détection d'anomalies ne générera aucune alarme au moment de la compromission. En revanche, une série de connexion entrantes à destination d'un port qui ne correspond pas à une application connue génèrera une alarme car ceci sera considéré comme une anomalie liée au système attaqué.

A contrario, si la compromission s'effectue sur un port autorisé, le moteur de détection d'anomalies ne déclenchera aucune alarme.
De même, la détection de Back Orifice au moyen de l'analyse protocolaire ne déclenchera aucune alerte si le pirate formule ses requêtes de manière « normale », sauf si l'IDS possède des règles spécifiques d'analyse du protocole de Back Orifice. Compte tenu de la diversité des portes dérobées de type Back Orifice, il est toutefois difficile de développer un moteur d'analyse protocolaire qui puisse détecter toutes les attaques de ce type.