IDS / IPS

Snort et Suricata — règles et configuration

Snort et Suricata utilisent un format de règles similaire. Une règle Snort/Suricata : `alert tcp $EXTERNAL_NET any -> $HOME_NET 445 (msg:"MS-SMB EternalBlue"; flow:established,to_server; content:"|FF|SMB|72|"; sid:1000001; rev:1;)` — génère une alerte pour toute connexion TCP vers le port 445 (SMB) contenant le pattern hexadécimal caractéristique de l'exploit EternalBlue. Les règles Emerging Threats (ET Open, gratuites) et les règles Snort Subscriber (payantes, 10$/mois) fournissent des milliers de signatures mises à jour quotidiennement. Suricata supporte l'analyse de protocoles applicatifs (DPI de la couche 7 — analyse HTTP, TLS, DNS, SMB, SMTP) permettant des règles plus spécifiques et moins sujettes aux faux positifs que les simples correspondances de chaînes. L'intégration Suricata + Elastic Stack (Elasticsearch + Kibana) via l'agent Suricata EVE JSON permet un SOC IDS complet open-source.

IPS vs EDR — complémentarité

L'IPS et l'EDR (Endpoint Detection and Response) sont complémentaires et non substituables. L'IPS protège au niveau du réseau — il voit tout le trafic passant par le segment réseau monitoré, quel que soit l'état de sécurité des endpoints. Utile pour : détecter les attaques réseau (scans, exploits réseau, trafic C2 connu), protéger les équipements sans agent (IoT, OT, imprimantes), et fournir une couche de détection indépendante des endpoints. L'EDR protège au niveau de l'endpoint — il voit les processus, fichiers, registry, et connexions réseau d'un seul poste. Utile pour : détecter les comportements malveillants sur le poste (injection de code, exécution de scripts PowerShell suspects), la réponse aux incidents (isoler un poste, collecter des artefacts), et la détection des techniques LotL (living-off-the-land). Un IPS seul peut manquer des attaques entièrement dans les endpoints (trafic interne non passant par l'IPS) ; un EDR seul peut manquer des attaques réseau sur des équipements sans agent. La stratégie de défense en profondeur combine les deux.

NDR vs IDS/IPS — évolution technologique

Le NDR (Network Detection and Response) est souvent présenté comme le successeur moderne de l'IDS/IPS traditionnel. Les IDS/IPS basés sur les signatures deviennent moins efficaces contre les attaques avancées qui utilisent des techniques d'évasion, le chiffrement TLS, et des outils légitimes. Le NDR utilise des approches comportementales (ML, baselines) pour détecter des anomalies que les signatures ne couvrent pas. Cependant, les IPS restent pertinents pour la protection contre les exploits connus (réseau non-chiffré, exploits anciens encore utilisés), le blocage automatique (l'IPS peut bloquer en temps réel contrairement au NDR qui est souvent en mode détection), et les environnements OT/ICS (où le trafic est prévisible et les signatures très efficaces). La tendance est à l'intégration : les NGFW modernes combinent IPS signature + détection comportementale + sandboxing dans une seule appliance, tandis que les SOCs déploient le NDR en complément pour les angles morts.