Les systèmes de détection des intrusions (IDS) analysent le trafic réseau pour détecter des signatures correspondant à des cyber-attaques connues. Les systèmes de prévention des intrusions (IPS) analysent également les paquets, mais ils peuvent aussi les bloquer en fonction du type d’attaques qu’ils détectent, ce qui contribue à stopper ces attaques.

Les IDS et les IPS font tous deux partie de l’infrastructure réseau.

Les IDS/IPS comparent les paquets de réseau à une base de données de cyber-menaces contenant des signatures connues de cyber-attaques et repèrent tous les paquets qui concordent avec ces signatures.

La principale différence entre les deux tient au fait que l’IDS est un système de surveillance, alors que l’IPS est un système de contrôle.

L’IDS ne modifie en aucune façon les paquets réseau, alors que l’IPS empêche la transmission du paquet en fonction de son contenu, tout comme un pare-feu bloque le trafic en se basant sur l’adresse IP.

• Les IDS (Intrusion Detection Systems) : analysent et surveillent le trafic réseau pour détecter des signes indiquant que des hackers utilisent une cybermenace connue afin de s’infiltrer dans votre réseau ou y voler des données. Les systèmes d’IDS comparent l’activité réseau en cours avec une base de données d’attaques connues afin de détecter divers types de comportements tels que les violations de la politique de sécurité, les malwares et les scanners de port.
• Les IPS (Intrusion Prevention Systems) : agissent dans la même zone du réseau qu’un pare-feu, entre le monde extérieur et le réseau interne. Les IPS rejettent de façon proactive les paquets réseau en fonction d’un profil de sécurité si ces paquets représentent une menace connue.

De nombreux fournisseurs d’IDS/IPS ont intégré de nouveaux systèmes IPS à des pare-feu, afin de créer une technologie appelée UTM (Unified Threat Management). Cette technologie combine en une seule entité les fonctionnalités de ces deux systèmes similaires. Certains systèmes intègrent dans une même entité les fonctionnalités d’un IDS et d’un IPS.

Les IDS et les IPS lisent tous deux les paquets réseau et en comparent le contenu à une base de menaces connues.

La principale différence entre les deux tient à ce qui se passe ensuite.

• Les IDS sont des outils de détection et de surveillance qui n’engagent pas d’action de leur propre fait.
• Les IPS constituent un système de contrôle qui accepte ou rejette un paquet en fonction d’un ensemble de règles.

Avec l’IDS, il est nécessaire qu’un humain ou un autre système prenne ensuite le relais pour examiner les résultats et déterminer les actions à mettre en œuvre, ce qui peut représenter un travail à temps complet selon la quantité quotidienne de trafic généré. L’IDS constitue un très bon outil d’analyse « post-mortem » pour l’équipe CSIRT (Computer Security Incident Response Team), qui pourra l’utiliser dans le cadre de ses enquêtes sur les incidents de sécurité.

Pour sa part, l’objectif de l’IPS est de capturer les paquets dangereux et de les retirer avant qu’ils n’atteignent leur cible. Il est plus passif qu’un IDS et exige simplement de mettre régulièrement à jour la base de données pour y intégrer les informations relatives aux nouvelles menaces.

Les équipes de sécurité sont confrontées à un risque croissant de fuite de données et d’amendes pour non-conformité.

Parallèlement, elles continuent d’être confrontées à des problèmes de contraintes budgétaires et de politique d’entreprise. La technologie IDS/IPS recouvre des tâches spécifiques et importantes en matière de stratégie de cybersécurité :

• Automatisation : les systèmes IDS/IPS sont dans une large mesure automatiques, ce qui en fait des candidats parfaits à l’intégration à la pile de sécurité actuelle. Les IPS procurent la tranquillité d’esprit que le réseau est protégé contre les menaces connues, et ce avec des besoins limités en ressources.
• Conformité : dans le cadre du respect de la conformité, il est souvent nécessaire de prouver que vous avez investi dans des technologies et systèmes dédiés à la protection de vos données. La mise en œuvre d’une solution d’IDS/IPS permet de satisfaire une condition de conformité et de réaliser un certain nombre de contrôles de sécurité. Surtout, les données d’audit constituent un élément essentiel des enquêtes en matière de conformité.
• Application de la politique : les IDS/IPS sont configurables, ce qui contribue à l’application des politiques de sécurité internes au niveau du réseau. Par exemple, si vous n’utilisez qu’un VPN, vous pouvez utiliser l’IPS pour bloquer le trafic provenant d’un autre VPN.