Français
Menu

Qu'est-ce que Système de détection d'intrusion (IDS) ?

Système qui surveille le trafic réseau ou l'activité sur les terminaux, trouve les attaques présumées et alerte les administrateurs. Il existe des systèmes à signatures, qui comparent avec les caractéristiques d'attaques connues, et des systèmes à anomalies, qui cherchent les écarts par rapport au comportement normal. Un système placé sur le chemin du trafic (en ligne) et capable de bloquer sur-le-champ le trafic jugé être une attaque s'appelle un IPS (intrusion prevention system, système de prévention d'intrusion). Comme un IPS peut arrêter du trafic légitime à cause de faux positifs, ses règles de blocage sont ajustées avec soin.

Nom japonais: 侵入検知システム(IDS)

« Système de détection d'intrusion (IDS) » apparaît dans 3 questions d'entraînement réparties sur 1 thèmes, dont Cyberattaques et défense en pratique.

Domaine: Cyberattaques et défense en pratique

S'entraîner : questions sur Système de détection d'intrusion (IDS)

Quelle description de la différence entre un IDS (système de détection d'intrusion) et un IPS (système de prévention d'intrusion) est correcte ?

  1. AUn IDS bloque automatiquement le trafic malveillant dès qu'il le détecte, alors qu'un IPS se contente d'enregistrer le trafic pour une analyse ultérieure sans le bloquer
  2. BUn IDS détecte les attaques présumées et prévient les administrateurs, alors qu'un IPS est placé sur le chemin du trafic et bloque le trafic qu'il juge malveillant
  3. CL'IDS comme l'IPS sont des mécanismes qui distribuent et appliquent automatiquement à chaque appareil interne les programmes corrigeant les vulnérabilités logicielles
Afficher la réponse et l'explication

Réponse : B. Un IDS détecte les attaques présumées et prévient les administrateurs, alors qu'un IPS est placé sur le chemin du trafic et bloque le trafic qu'il juge malveillant

Un IDS surveille le trafic réseau (ou l'activité sur les terminaux) et émet une alerte lorsqu'il trouve une attaque présumée. Il est souvent déployé pour recevoir et examiner une copie du trafic ; prendre à tort un trafic normal pour une attaque n'arrête donc pas l'activité, mais le blocage est laissé aux personnes ou à d'autres mécanismes. Un IPS est placé sur le chemin du trafic (en ligne) et peut bloquer sur-le-champ le trafic qu'il juge être une attaque. En contrepartie, les faux positifs arrêtent du trafic métier légitime, et les pannes ou les retards de traitement de l'équipement touchent tout le trafic ; les règles de blocage sont donc ajustées avec soin.

Quelle comparaison entre la détection par signatures (détection d'abus) et la détection par anomalies, comme méthodes de détection d'un IDS, est correcte ?

  1. ALa détection par signatures recherche la correspondance avec les caractéristiques d'attaques connues et manque facilement les attaques inconnues ; la détection par anomalies repère les écarts par rapport à la normale et peut remarquer des attaques inconnues, mais produit plus de faux positifs
  2. BLa détection par signatures détecte de façon fiable même les attaques inconnues non enregistrées, alors que la détection par anomalies ne détecte que les attaques connues enregistrées à l'avance
  3. CLa détection par anomalies n'a pas besoin d'apprendre l'état normal ; elle s'utilise donc sans faux positifs dès son déploiement et ne nécessite aucune mise à jour de signatures
Afficher la réponse et l'explication

Réponse : A. La détection par signatures recherche la correspondance avec les caractéristiques d'attaques connues et manque facilement les attaques inconnues ; la détection par anomalies repère les écarts par rapport à la normale et peut remarquer des attaques inconnues, mais produit plus de faux positifs

La détection par signatures enregistre à l'avance les caractéristiques de trafic (signatures) d'attaques connues et détecte ce qui y correspond. Elle trouve avec précision les attaques enregistrées, mais manque facilement les nouvelles attaques ou celles aux caractéristiques légèrement modifiées, et les signatures doivent être mises à jour en permanence. La détection par anomalies apprend l'état normal (la ligne de base), comme le volume de trafic, l'heure de la journée et les destinations, et détecte les grands écarts par rapport à celui-ci ; elle peut donc remarquer des attaques inconnues. En revanche, elle juge facilement anormal un trafic légitime mais rare, ce qui augmente les faux positifs ; en pratique, on combine donc les deux.

« Système de détection d'intrusion (IDS) » dans les explications

Questions mentionnant « Système de détection d'intrusion (IDS) » (3)

  1. Quelle description de la différence entre un IDS (système de détection d'intrusion) et un IPS (système de prévention d'intrusion) est correcte ?
  2. Quelle comparaison entre la détection par signatures (détection d'abus) et la détection par anomalies, comme méthodes de détection d'un IDS, est correcte ?
  3. Un IDS examine 1 million de connexions par jour, dont 100 sont de véritables attaques. L'IDS détecte 99 % des attaques et juge à tort comme des attaques 0,1 % des connexions qui n'en sont pas. Quelle valeur est la plus proche de la proportion des alertes émises par l'IDS qui sont de véritables attaques ?

Termes associés

Attaque par la chaîne d'approvisionnement Centre des opérations de sécurité Cyber Kill Chain EDR (endpoint detection and response) Indicateur de compromission (IoC) Investigation numérique (forensique) MITRE ATT&CK Mouvement latéral (lateral movement) Réponse aux incidents SBOM (nomenclature logicielle)

Retour au glossaire