Chapitre 4 — IDS, IPS & Honeypots

Ce module couvre les systèmes de détection et prévention des intrusions (IDS/IPS), leurs méthodes de détection, leur placement dans le réseau, et les leurres comme les honeypots.

IDS vs IPS — Détection vs Prévention

Mémorisez ! IDS = détecte et alerte (passif, out-of-band). IPS = détecte ET bloque (actif, inline). Un IDS ne peut pas bloquer — il génère des alertes. Un IPS peut bloquer mais peut aussi provoquer des faux positifs.

Caractéristique	IDS	IPS
Position réseau	Hors du flux (out-of-band) — reçoit une copie du trafic	Inline — dans le chemin du trafic
Réponse aux menaces	Alerte + log seulement	Bloque, rejette, isole en temps réel
Impact sur les performances	Aucun impact sur le flux réseau	Peut ajouter de la latence
Risque faux positif	Alerte inutile uniquement	Peut bloquer du trafic légitime
Type de contrôle	Détectif	Préventif + Détectif

Méthodes de Détection

Méthode	Comment ça fonctionne	Avantage	Limite
Signature-based	Correspond le trafic à des signatures d'attaques connues	Peu de faux positifs, rapide	Inefficace contre les zero-days (pas de signature)
Anomaly-based	Définit une ligne de base "normale" et alerte sur les déviations	Détecte les zero-days et nouvelles attaques	Plus de faux positifs, phase d'apprentissage longue
Behavior-based	Analyse les comportements au lieu des signatures	Détecte les menaces avancées (APT)	Complexe à calibrer
Heuristic	Règles heuristiques basées sur des patterns suspects	Peut détecter des variantes de malwares	Faux positifs possibles

Scénario : Un IDS basé sur les signatures détecte une attaque Heartbleed (CVE-2014-0160) car il a la signature dans sa base de données. Mais il rate une nouvelle variante personnalisée. Un IDS basé sur les anomalies remarque que le comportement de ce trafic TLS est inhabituel (grande réponse à une petite requête) et génère une alerte — même sans signature connue.

NIDS vs HIDS

NIDS (Network-based IDS) : surveille le trafic réseau. Placé au niveau du segment réseau (ex: derrière le routeur). Voit tout le trafic réseau mais pas ce qui se passe sur les hôtes individuellement.
HIDS (Host-based IDS) : agent installé sur chaque hôte. Surveille les fichiers système, journaux, processus, appels système. Plus précis pour les menaces sur l'hôte. Ex: OSSEC, Wazuh.
Wireless IDS (WIDS) : détecte les AP pirates (rogue AP), les attaques sur le Wi-Fi (deauth, evil twin).

Astuce Examen

NIDS vs HIDS : une question mentionnant "modifications de fichiers système" ou "processus malveillants sur un hôte" → HIDS. "Trafic réseau anormal" ou "scans de ports" → NIDS. Les deux peuvent coexister et se complémentent.

Honeypots & Leurres

Honeypot : système leurre conçu pour attirer les attaquants. Non utilisé en production — toute activité est suspecte. Permet d'étudier les techniques d'attaque.
Honeypot à faible interaction : simule un service (ex: un faux SSH). Moins de risque mais moins d'informations.
Honeypot à haute interaction : système réel (VM) exposé. Plus de données mais risque de rebond si compromis.
Honeynet : réseau entier de honeypots simulant une infrastructure.
Honeyfile : fichier appât (ex: "mots_de_passe.xlsx") qui déclenche une alerte si ouvert.
Darknet / Darkspace : plage d'adresses IP non utilisées. Tout trafic vers ces IPs est par définition suspect (scan, malware propagation).

Quiz — IDS, IPS, Honeypots

1. Quelle est la principale différence fonctionnelle entre un IDS et un IPS ?

Un IDS génère des alertes uniquement ; un IPS peut aussi bloquer le trafic malveillant Un IDS est plus récent qu'un IPS Un IDS opère à la couche 7, un IPS à la couche 4 Un IPS ne peut pas générer d'alertes, seulement bloquer

IDS (Detection) = passif — surveille, détecte, alerte. IPS (Prevention) = actif inline — détecte ET peut bloquer/rejeter en temps réel. L'IPS peut provoquer des interruptions si des faux positifs bloquent du trafic légitime.

2. Un IDS basé sur les anomalies (anomaly-based) est capable de détecter :

Uniquement les attaques avec des signatures connues Uniquement les tentatives d'authentification échouées Des attaques zero-day en identifiant des déviations par rapport à la ligne de base normale Uniquement les malwares sur les endpoints

L'anomaly-based detection crée un profil de comportement "normal" (ligne de base) et alerte quand le comportement dévie significativement. C'est son avantage sur la détection par signature : pas besoin de signature connue pour détecter.

3. Quel type d'IDS est le plus adapté pour détecter des modifications non autorisées de fichiers système sur un serveur web ?

NIDS Wireless IDS IPS réseau HIDS

HIDS surveille l'hôte lui-même : fichiers système, processus, journaux, appels système. Une modification de fichier système (ex: /etc/passwd modifié) est visible par HIDS. NIDS ne voit que le trafic réseau et ne peut pas détecter des modifications de fichiers locaux.

4. Un administrateur dépose un fichier nommé "credentials_db.xlsx" sur un partage réseau et configure une alerte si ce fichier est ouvert. Quelle technique de détection est utilisée ?

NIDS basé sur les signatures Honeyfile (fichier leurre) DLP (Data Loss Prevention) SIEM avec règle de corrélation

Un honeyfile est un fichier appât conçu pour attirer les attaquants. Aucun utilisateur légitime n'a de raison d'ouvrir ce fichier — tout accès est donc suspect et déclenche une alerte. Technique de déception (deception technology).

5. Pourquoi un IPS inline peut-il causer des problèmes de disponibilité ?

Car il consomme trop de bande passante en copiant le trafic Car il ne peut pas traiter le trafic IPv6 Car des faux positifs peuvent bloquer du trafic légitime, coupant des services Car il chiffre le trafic ce qui ralentit les applications

Un IPS inline se trouve dans le chemin du trafic. Si sa règle de détection génère un faux positif (trafic légitime identifié comme malveillant), il peut bloquer une connexion légitime et causer une interruption de service. L'IDS hors-bande ne peut pas causer ce problème.

6. La détection par signature est inefficace contre :

Les attaques zero-day (exploits de vulnérabilités inconnues) Les attaques par force brute Les tentatives de scan de ports Nmap Les exploits de CVE publiés

Les signatures ne peuvent détecter que les attaques connues pour lesquelles une signature a été créée. Un zero-day est une attaque contre une vulnérabilité inconnue — pas de signature possible. L'anomaly-based detection est complémentaire pour ce cas.

7. Un "honeynet" est :

Un réseau de pare-feux en cascade Un VPN sécurisé pour les chercheurs en sécurité Un réseau de HIDS interconnectés Un réseau entier de honeypots simulant une infrastructure réelle pour attirer et étudier les attaquants

Un honeynet simule une infrastructure complète (plusieurs serveurs, services, données fictives) pour attirer les attaquants sophistiqués. Il permet d'étudier leurs techniques, outils et procédures (TTP) en détail.

8. Quel est l'avantage du positionnement "out-of-band" d'un IDS par rapport à un IPS inline ?

L'IDS peut bloquer les attaques plus rapidement L'IDS n'ajoute pas de latence et ne peut pas interrompre le trafic légitime L'IDS a accès à plus de trafic que l'IPS L'IDS peut inspecter le trafic chiffré sans proxy

Hors-bande = l'IDS reçoit une copie du trafic (via port mirror/SPAN). Le trafic réel n'est pas affecté — aucune latence ajoutée, aucun risque de blocage de trafic légitime. Inconvénient : il peut seulement alerter, pas bloquer en temps réel.

9. Un "darknet" ou "darkspace" dans un contexte IDS/sécurité réseau représente :

Le réseau Tor pour les communications anonymes Un réseau non routable utilisé pour les tests internes Des plages d'adresses IP non utilisées où tout trafic entrant est par définition suspect Un segment réseau chiffré pour les données sensibles

Un darknet/darkspace est une plage d'IP allouée mais non utilisée. Aucun hôte légitime n'y répond. Tout trafic vers ces IPs signale un scan de ports, un malware en propagation, ou un mauvais routage. Excellente source de threat intelligence.

10. Lors du déploiement d'un NIDS, où doit-il être placé pour surveiller tout le trafic entrant depuis internet ?

Sur un port SPAN/mirror du switch ou tap réseau entre le routeur internet et le pare-feu interne Sur chaque endpoint du réseau Dans la DMZ uniquement Sur le serveur SIEM

Un NIDS surveille une copie du trafic via un port SPAN (Switch Port ANalyzer) ou un tap réseau physique. Pour voir tout le trafic internet, il doit être positionné avant le premier pare-feu (pour voir les attaques bloquées) ou entre le pare-feu et le LAN (pour voir ce qui passe).