Analyse et détection d’intrusions

Le développement de l’informatique s’est accompagné de problèmes de sécurité. À l’origine, les virus se propageaient lentement, par l’échange de supports informatiques. Avec l’apparition des premiers réseaux TCP/ IP, les problèmes de sécurité se sont diversifiés et ont conduit au développement de nouvelles techniques de sécurité.

Très tôt dans le développement d’Internet, des vulnérabilités sur les systèmes d’exploitation ont permis à des attaquants de se déplacer virtuellement de système en système. Dans le contexte militaire de déploiement des réseaux TCP/ IP, la détection des actions malveillantes est rapidement devenue une nécessité. Les mesures de prévention se sont révélées insuffisantes et ont amené la création de systèmes de détection d’intrusions (IDS).

Ces systèmes ont été développés dans le but de détecter des fonctionnements anormaux des systèmes d’information et des réseaux, indiquant que des actions non conformes à la politique de sécurité sont menées par un ou plusieurs utilisateurs. Deux familles de techniques d’analyse ont été élaborées pour effectuer cette détection. La première famille de techniques d’analyse postule que l’on peut différencier le comportement d’un attaquant du comportement habituel du système d’information surveillé. La deuxième famille exploite la connaissance accumulée sur les vulnérabilités et les manières de pénétrer les systèmes d’information ; lorsque des actions d’utilisateurs ressemblent à des attaques précédemment décrites, le système de détection d’intrusions transmet une alerte.

Ces techniques d’analyse s’appliquent à différentes sources de données, qui doivent être acquises par le système de détection d’intrusions (écoute du réseau ou lecture de fichiers par exemple), et prétraitées pour simplifier l’analyse.

L’objectif de ces systèmes de détection d’intrusion aujourd’hui est principalement de fournir des informations sur la santé du système d’information surveillé aux opérateurs. Cependant, l’évolution des techniques d’analyse et l’amélioration de leur fiabilité permettent d’envisager dans quelques années des systèmes de protection plus fins que ceux disponibles à l’heure actuelle. En particulier, il devrait devenir possible de protéger individuellement chacun des services offerts par un système d’information, sans être lié aux points d’accès réseau comme cela est le cas aujourd’hui avec la technologie généralisée des pare-feu.