IDS/IPS (Intrusion Detection/Prevention System)

Définition

Un IDS, Intrusion Detection System, est un système qui surveille le trafic réseau ou l'activité d'un système d'exploitation pour détecter des comportements suspects, des signatures d'attaques connues ou des violations de politique de sécurité, puis génère une alerte sans intervenir directement sur le flux observé. Un IPS, Intrusion Prevention System, étend cette capacité de détection à une action de blocage automatique en temps réel, en coupant la connexion suspecte ou en rejetant le paquet malveillant avant qu'il n'atteigne sa cible, ce qui le positionne généralement en ligne (inline) sur le chemin du trafic plutôt qu'en écoute passive. Ces systèmes se déclinent en variantes réseau (NIDS/NIPS), analysant le trafic au niveau des segments ou du périmètre, et hôte (HIDS/HIPS), surveillant l'activité locale d'une machine : appels système, intégrité de fichiers, journaux d'événements. La détection repose sur deux approches complémentaires : la détection par signatures, efficace contre les menaces connues mais aveugle aux attaques inédites, et la détection par anomalie ou heuristique, capable d'identifier des comportements déviants au prix d'un taux de faux positifs plus élevé. Des solutions open source comme Snort ou Suricata et des plateformes commerciales intègrent ces capacités, souvent couplées à des flux de threat intelligence pour actualiser en continu les signatures détectées.