Système de prévention d'intrusion (IPS)

Définition

Un système de prévention d'intrusion, ou IPS (Intrusion Prevention System), est un dispositif de sécurité réseau qui analyse le trafic en temps réel afin de détecter et bloquer automatiquement les activités malveillantes. Placé en ligne (inline) sur le chemin de communication, contrairement à un système de détection d'intrusion (IDS) purement passif, l'IPS peut interrompre une connexion suspecte, rejeter des paquets ou réinitialiser une session dès qu'une signature d'attaque ou une anomalie comportementale est identifiée. Il s'appuie sur plusieurs méthodes de détection complémentaires : la reconnaissance de signatures d'attaques connues, l'analyse statistique de comportements anormaux, et la vérification de conformité aux protocoles réseau standards. Les IPS modernes intègrent des bases de signatures régulièrement mises à jour couvrant les exploits publiés, les scans de vulnérabilités et les techniques répertoriées dans MITRE ATT&CK, comme le mouvement latéral (TA0008) ou l'exploitation de services exposés (T1190). Ils sont souvent intégrés aux pare-feux nouvelle génération ou déployés en tant que solution dédiée en périphérie ou en cœur de réseau. Un réglage précis est indispensable pour limiter les faux positifs, qui peuvent bloquer du trafic légitime, et les faux négatifs, qui laissent passer des attaques réelles. L'IPS constitue une couche de défense active essentielle dans une architecture de sécurité en profondeur, complémentaire à la surveillance SOC.