Système de détection d'intrusion (IDS)

Définition

Un système de détection d'intrusion, ou IDS (Intrusion Detection System), est une solution de sécurité qui surveille le trafic réseau ou l'activité d'un système afin d'identifier des comportements suspects ou des signatures d'attaques connues. Contrairement à un système de prévention d'intrusion (IPS) déployé en ligne, l'IDS fonctionne en mode passif, généralement via une copie du trafic (port mirroring ou TAP réseau), et se contente de générer des alertes sans bloquer les flux malveillants. On distingue les NIDS (Network IDS), qui analysent le trafic circulant sur le réseau, des HIDS (Host IDS), installés sur un poste ou un serveur pour surveiller les journaux système, l'intégrité des fichiers et les processus. La détection repose sur deux approches principales : la détection par signatures, efficace contre les menaces connues mais inopérante face aux attaques inédites, et la détection par anomalies, fondée sur l'écart à un comportement de référence, capable d'identifier des menaces zero-day au prix d'un taux de faux positifs plus élevé. Des outils open source comme Snort ou Suricata sont largement utilisés dans les environnements SOC. Les alertes générées par un IDS alimentent généralement un SIEM pour corrélation et investigation. L'IDS constitue un pilier de la détection dans les référentiels de cybersécurité comme le NIST CSF et les architectures de défense en profondeur.