Systèmes de prévention d’intrusion
Pare-feu

Les systèmes de prévention d’intrusion, encore désignés par l’acronyme anglophone IPS (Intrusion Prevention System), sont relativement nouveaux. Ils apparaissent comme une amélioration des systèmes de détection d’intrusion ou IDS (Intrusion Detection System) [11]. En effet, les IDS permettent de détecter des intrusions sur un réseau par collecte et analyse des données fournies par plusieurs équipements du réseau ; en cas d’activités anormales comme le sondage de ports ouverts, la détermination des systèmes installés, etc., les IDS ont généralement pour fonction d’avertir l’administrateur du réseau et de le laisser décider si le trafic doit continuer à passer ou si, au contraire, il faut bloquer le trafic suspect. Comme on peut le constater, les IDS permettent de détecter des attaques une fois qu’elles se sont produites ; ils permettent donc, après coup, d’analyser la vulnérabilité exploitée par l’intrus pour réaliser son attaque et de trouver des solutions pour y remédier ; en aucun cas ils ne permettent d’empêcher une intrusion en cours.

L’idée des IPS est donc d’introduire un outil permettant aux IDS de réagir en temps réel aux intrusions détectées de telle sorte que l’intrusion soit stoppée avant même que le trafic suspect n’ait fait des dégâts en interne.

Tout comme les IDS, les IPS se divisent en deux catégories :

• les HIPS (Host based IPS) sont des agents installés directement sur des terminaux à protéger. Les HIPS coopèrent étroitement avec le système d’exploitation pour détecter et empêcher tout appel système suspect ;

• les NIPS (Network based IPS) se trouvent sur des équipements en coupure sur le réseau. Ils combinent les fonctions d’un IDS et d’un pare-feu. Tout comme l’IDS, ils détectent les paquets IP suspects, et tout comme le pare-feu, en cas de paquet suspect, ils détruisent immédiatement le paquet ainsi que les paquets suivants appartenant au même flux. L’IPS doit bien entendu envoyer une alarme à l’administrateur pour que ce dernier soit averti de ce problème. Les IPS peuvent aussi servir à corriger en temps réel certaines incohérences de protocole qui sont liées aux nombreuses piles TCP/IP existantes et à la grande diversité d’interprétation des spécifications de TCP/IP. Les NIPS ont alors pour fonction de nettoyer les paquets IP avant de les transmettre...