Technologies d’analyse
Analyse et détection d’intrusions

2.1 Détection par scénarios

La détection par scénarios s’appuie sur la connaissance accumulée au sujet des attaques et des vulnérabilités spécifiques des systèmes d’information, systèmes d’exploitation et applications. Le système de détection d’intrusions contient des informations sur ces vulnérabilités et recherche des tentatives d’exploiter ces vulnérabilités. Quand une telle tentative est détectée, une alerte est produite.

En d’autres termes, toute action qui n’est pas explicitement identifiée comme un mauvais usage du système d’information, est considérée comme acceptable. Notons que la détection par scénarios couvre plus que les attaques connues. Une politique de sécurité peut explicitement déclarer des événements comme « indésirables » sans qu’il y ait de vulnérabilité associée. Par exemple, certains protocoles comme SNMP peuvent être bannis d’un réseau indépendamment de toute vulnérabilité.

D’autre part, un certain nombre de mécanismes d’attaque ou de vulnérabilité ont été analysés, pour extraire des caractéristiques communes à une classe de vulnérabilités, par exemple les débordements de mémoire. Ces modèles abstraits permettent de détecter des phénomènes anormaux liés à ces mécanismes d’attaque, sans que pour autant la vulnérabilité spécifique soit connue. La même démarche est utilisée pour généraliser les scénarios spécifiques à une vulnérabilité, pour les rendre indépendants d’un outil d’attaque.

2.1.1 Description des scénarios

La description des scénarios peut se faire de multiples manières. Dans le projet IDES, l’implémentation de référence était constituée d’un système expert contenant, sous forme de règles, la connaissance des vulnérabilités. Une action d’un utilisateur était introduite sous forme d’un fait dans la base de connaissances, et le système expert devait déterminer si l’ensemble des faits et règles permettait de conclure...