Un syst\u00e8me de d\u00e9tection d’intrusion<\/b> (ou IDS: Intrusion Detection System<\/i>) est un m\u00e9canisme destin\u00e9 \u00e0 rep\u00e9rer des activit\u00e9s anormales ou suspectes sur la cible analys\u00e9e. Il permet ainsi d’avoir une connaissance sur les tentatives r\u00e9ussies comme \u00e9chou\u00e9es des intrusions.<\/p>\n Un NIDS se d\u00e9coupe en trois grandes parties : La capture<\/b>, les signatures<\/b> et les alertes<\/b>.<\/p>\n La capture sert \u00e0 la r\u00e9cup\u00e9ration de trafic r\u00e9seau, comme le fait Wireshark.<\/p>\n La plupart des NIDS utilisent la biblioth\u00e8que standard de capture de paquets libpcap<\/a><\/i>. Son mode de fonctionnement est de copier (sous Linux) tout paquet arrivant au niveau de la couche liaison de donn\u00e9es du syst\u00e8me d’exploitation. Une fois ce paquet copi\u00e9, il lui est appliqu\u00e9 un filtre BPF (Berkeley Packet Filter), correspondant \u00e0 l’affinage de ce que l’IDS cherche \u00e0 r\u00e9cup\u00e9rer comme information.<\/p>\n Les biblioth\u00e8ques de signatures (approche par sc\u00e9nario) rendent la d\u00e9marche d’analyse similaire \u00e0 celle des antivirus quand ceux-ci s’appuient sur des signatures d’attaques.<\/p>\n Les NIDS ont pour avantage d’\u00eatre des syst\u00e8mes temps r\u00e9el et ont la possibilit\u00e9 de d\u00e9couvrir des attaques ciblant plusieurs machines \u00e0 la fois. Leurs inconv\u00e9nients sont le taux \u00e9lev\u00e9 de faux positifs qu’ils g\u00e9n\u00e8rent, le fait que les signatures aient toujours du retard sur les attaques de type 0day et qu’ils peuvent \u00eatre la cible d’une attaque.<\/p>\n Snort, qui est l’IDS Gnu le plus populaire et celui mis en oeuvre ici, pour effectuer ces analyses se fonde sur des r\u00e8gles. Celles-ci sont \u00e9crites par Sourcefire ou bien fournies par la communaut\u00e9. Snort est fourni avec certaines r\u00e8gles de base mais cependant, comme tout logiciel, Snort n’est pas infaillible et demande donc une mise \u00e0 jour r\u00e9guli\u00e8re.<\/p>\n Les alertes sont g\u00e9n\u00e9ralement stock\u00e9es dans les journaux du syst\u00e8me. Cependant il existe une norme qui permet d’en formaliser le contenu, afin de permettre \u00e0 diff\u00e9rents \u00e9l\u00e9ments de s\u00e9curit\u00e9 d’interop\u00e9rer. Ce format s’appelle IDMEF<\/a> (pourIntrusion Detection Message Exchange Format<\/i>) d\u00e9crit dans la RFC 4765<\/a>.<\/p>\n La recherche de motif est ce qui permet \u00e0 un NIDS de trouver le plus rapidement possible les informations dans un paquet r\u00e9seau. Il existe diff\u00e9rents algorithmes de recherche de motif<\/a>.<\/p>\n Dans le cas d’un NIDS, la recherche de motif est souvent le n\u0153ud d’\u00e9tranglement, pouvant consommer plus de quatre-vingt pourcent de temps de calcul.<\/p>\n \u00c0 partir de ces \u00e9l\u00e9ments, le moteur d’analyse met ces \u00e9l\u00e9ments de relation en employant plusieurs techniques : la d\u00e9fragmentation<\/b>, la dissection<\/b> protocolaire ou encore l’analyse comportementale<\/strong>.<\/p>\n Snort<\/strong>, qui est l’IDS Gnu le plus populaire et celui mis en oeuvre ici, se fonde sur des r\u00e8gles pour effectuer ces analyses. Celles-ci sont \u00e9crites par Sourcefire ou bien fournies par la communaut\u00e9. Snort est fourni avec certaines r\u00e8gles de base mais cependant, comme tout logiciel, Snort n’est pas infaillible et demande donc une mise \u00e0 jour r\u00e9guli\u00e8re.<\/p>\n Il peut effectuer des analyses de protocole, recherche\/correspondance de contenu et peut \u00eatre utilis\u00e9 pour d\u00e9tecter une grande vari\u00e9t\u00e9 d’attaques et de sondes comme des d\u00e9passements de buffers<\/a>,scans<\/a>, attaques sur des CGI<\/a>, sondes SMB<\/a>, essai d’OS fingerprintings<\/a> et bien plus.<\/p>\n Pour plus d’informations : https:\/\/fr.wikipedia.org\/wiki\/Syst\u00e8me_de_d\u00e9tection_d%27intrusion<\/p>\n Comme d\u00e9crit ci dessus, pour d\u00e9tecter des intrusions, il faut s’appuyer sur des r\u00e8gles. Pour t\u00e9l\u00e9charger celles-ci, il faut s’inscrire sur snort.org <\/a> et demander un OINKCode (cl\u00e8s de chiffrement pour le t\u00e9l\u00e9chargement des r\u00e8gles).<\/p>\n Puis sur Ipfire, dans le menu Services, aller dans D\u00e9tection d’intrusion.<\/p>\n<\/span>
![\"Nids.png\"](\"https:\/\/commons.wikimedia.org\/wiki\/File:Nids.png?uselang=fr\")
<\/a><\/h4>\nCapture<\/span><\/h2>\n
Signatures<\/span><\/h2>\n
Alertes<\/span><\/h2>\n
Analyse<\/h2>\n
IDS sur Ipfire<\/h1>\n