Contexte
Analyse et détection d’intrusions

1.1 Problématique

Depuis de nombreuses années, les attaques contre les systèmes d’information et les réseaux se multiplient. Cette progression va de pair avec une multiplication du nombre de vulnérabilités informatiques publiées, majoritairement des failles logicielles. Ces vulnérabilités font l’objet de publications officielles ou semi-officielles, qui sont souvent accompagnées de programmes permettant de réaliser automatiquement tout ou partie d’une attaque.

1.1.1 Difficulté de mise en œuvre des mesures préventives

Dans le même temps, les mesures préventives induisent des contraintes difficiles à satisfaire dans un environnement opérationnel. La généralisation des pare-feu (voir ) protège l’accès au réseau interne de la majorité des entreprises. Ces pare-feu laissent cependant pénétrer à l’intérieur du réseau de l’entreprise un certain nombre de protocoles considérés comme nécessaires, par exemple DNS ou HTTP.

En particulier, nous pouvons dire aujourd’hui qu’il est extrêmement difficile de contrôler le bon fonctionnement d’un pare-feu. Les traces générées sont peu explicites et ce manque sérieux d’outils d’analyse est en partie comblé par les systèmes de détection d’intrusions.

1.1.2 Complexité des technologies de filtrage

L’apparition de protocoles plus complexes, comme la téléphonie sur IP (Internet Protocol) ou la visioconférence, rend la configuration des pare-feu difficile car les ports devant rester ouverts ne sont pas connus à l’avance. Il devient donc nécessaire d’avoir des configurations plus ouvertes, qui sont autant d’opportunités de faire pénétrer du trafic indésirable dans un réseau d’entreprise. Ces configurations moins contraignantes induisent d’ailleurs des difficultés plus importantes pour la définition de la politique de sécurité.

Il convient de remarquer que les opérations réalisées par les systèmes...