IDS (Intrusion Detection System) :
Un système de détection d’intrusion permet de détecter des activités suspectes en surveillant
l’activité d’une cible (Hôte ou réseau).l’IDS permet d’examiner les activités en temps réel et générer
des alertes au cas de détection d’un comportement inhabituel.
Les types d’IDS:
Il existe deux types d’IDS :
NIDS (Network IDS) : il est situé dans une partie isolée du réseau. Il analyse une copie du trafic
entrant vers le réseau et génère une alerte au cas d’une activité suspecte.
Un IDS réseau surveille l’état de sécurité du réseau.
HIDS (Host IDS) : il surveille l’état de sécurité des machines hôtes en analysant les activités de la
machine (consommation des ressources, le nombre des utilisateurs..) et l’activité de l’utilisateur
(Horaire, commandes utilisées, les applications actives..).
Les IDS Open Sources :
Network IDS :
1. Snort :
Snort est un système de détection d’intrusion réseau open source et gratuit , maintenu par
CISCO . C’est l’outil open source le plus populaire dans le marché, capable de s’exécuter sur
des différentes plateformes comme Windows et Linux.
Snort s’exécute sous 3 modes :
Mode Sniffer :
Snort surveille passivement le trafic réseau et l’affiche sur la console. Dans ce
mode, aucune analyse ou action est prise.
Mode Packet Logger :
Ce mode permet à Snort de stocker le trafic capturé sur un disque afin de
l’analyser .
Mode Intrusion Detection :
Le mode de détection d’intrusion est la fonctionnalité primaire de Snort. Il
permet une analyse active du trafic à la recherche d’une activité suspecte en
se basant sur des règles prédéfinies ou à partir des signatures.Snort permet
de récupérer les systèmes d’exploitations (OS Fingerprinting )et le balayage
des ports.
1. SNORT WORKFLOW
2. Suricata :
Suricata est un système de détection réseau open source et gratuit. Il permet de
détecter les intrusions en temps réel et de jouer le rôle d’un IPS (Intrusion Prevention
System) tout en appliquant des mesures préventives au cas d’une menace.
Suricata peut agir comme un système complet de surveillance réseau.
3. Zeek(Bro) :
Zeek, anciennement connu sous le nom « Bro », est un système de détection réseau
open source et gratuit. Il capable de s’exécuter sur Unix, Linux et Mac Os et suit deux
étapes , dont la première s’agit de l’enregistrement du trafic suis de son analyse.
Zeek se distingue des autres par son exécution au niveau de la coche application ainsi
sa capacité à suivre des différents services (HTTP, DNS, SNMP, FTP).
Host IDS :
1. OSSEC :
OSSEC est un système de détection d’intrusion système(HIDS) open source et gratuit.
Il permet de surveiller les événements au niveau de l’hôte, y compris l’analyse des
logs, vérification de l’intégrité des fichiers, détection des Rootkits. Il s’agit d’un
modèle client-serveur. Le serveur OSSEC est un composant centralisé qui agrège et
analyse les événements provenant des hôtes OSSEC qui à leurs tour permette de
collecter des événements de sécurité et des journaux et l’envoyer au serveur pour
l’analyser.
2. Une architecture OSSEC
2. Tripwire :
Tripwire est système de détection d’intrusion système(HIDS) open source et gratuit. Il
est capable de s’exécuter sur toutes les distributions Linux. Tripwire est connu pour
ses excellentes capacités à assurer l’intégrité des données, il aide à détecter la
modification apportée aux fichiers et à informer au cas des fichiers corrompus ou
altérés.
3. Security Onion :
Security Onion système de détection d’intrusion système open source et gratuit,
construit par Linux et maintenu par Doug Burks. C e système est composé d’une
fonction complète de capture de paquets et un système de détection d’intrusion qui
corrèle les événements basés sur l’hôte avec les événements basés sur le réseau. De
nombreux outils notamment comme Snort, Suricata, Zeek peuvent être utilisés.
Etude Comparative :
Avantages Inconvénients
Snort + Personnalisation des règles -Interface graphique non
+Base de signature étendue conviviale
Suricata +Multithread -configuration complexe
+capacité de prévention
Zeek +bonne analyse du trafic -configuration complexe
OSSEC +un moteur puissant d’analyse -perte des règles lors des mises
de journaux à jour
Tripwire +assure l’intégrité des données -parcourir les journaux
manuellement (pas de
notification)
Security Onion +solution complète -ne supporte pas Wifi
+interface conviviale -ne sauvegarde pas les
configurations
automatiquement que les
règles
