Mise en place d’un système de détection d’intrusion Présenté par: Elycheikh EL-MAALOUM Zakaria ZEKHNINI Mohammed RAZZOK Encadré par: : Mr. SEFRAOUI Université Mohammed 1 Ecole national des sciences appliquées
2002 Perte $ Introduction 2 DOS
1.Les notions générales de la sécurité informatique 2.Systèmes de détection d’intrusion(IDS) 3.SNORT 4.Snort et base de données 5.Mise en service d’un IDS 6.Conclusion Plan 3
Disponibilité Intégrité Confidentialité Auditabilité La sécurité assure : Les notions générales de la sécurité informatique 4
Vulnérabilité Intrusion Menace Terminologie de la sécurité 5
Les outils de la sécurité Les outils de la sécurité informatique Firewalls VPN Antivirus IDS Agent d’authentification 6
Types d’attaques Attaque directe Attaque par rebond Les attaques informatiques 7
Attaque par déni de service (DOS) Attaque man in the middle Les techniques d’attaques Rendre des services indisponibles. Ecoute le trafic entre deux interlocuteurs 8
IDS Des composantes logiciels et matériel Analyser le trafic Détecter des intrusions Générer des alertes Système de détection d’intrusion 9
Les pare-feu ne contrent pas toutes les menaces L’existence des failles potentielles Remonter la source de l’attaque Détecter les techniques employés Les traces sont des preuves tangibles Nécessité d’un IDS 10
IDS Hybride IDS réseau IDS réseau IDS hôte IDS hôte Le plus utilisé actuellement Les types d’IDS 11
Positionnement de l’IDS dans le réseau 12
Méthodes de détection d’intrusion IDS À signatureComportementaux Connaissance des attaques Détection des nouvelles attaques S’appuie sur Permet 13
Type de réponse d’un IDS Réponse IDS PassiveActive Enregistrer l’attaque Arrêter l’attaque Détecter 14
SNORT Open source Détection d’une variété d'attaques: Débordements de tampons Scans de ports furtifs Tentatives d'identification DOS Common gateway interface Scans server message block 15
Décodeur de paquets Préprocesseurs Moteur de détection Système d’alerte et d’enregistrement Journalisation Règles Sniffing Les composants principaux de SNORT Arrête de l’attaque 16
Les modes de snort Mode renifleur « sniffer » Mode d’enregistrement de snort Mode de détection d’intrusion 17
Les règles de snort L’entête de la règleLes options de la règle ActionProtocole IP Source Port Source Direction IP destination Port destination L’entête de la règle: Les options de la règle: Messages d'alerte Les informations sur les parties du paquet qui doivent être inspectées 18
Snort et base de données MySQL Permet l’enregistrement des journaux et des alertes dans une base de données MySQL. ◦ Maintenir les données d'historique ◦ L'analyse des informations enregistrées 19
Les différents scénarios d'utilisation d'une base de données avec Snort 20
Mise en service d’un système de détection d’intrusion 1- Test de connectivité avec une machine Windows 2-Attaque de type DOS (déni de service) 3-Détection par mot-clé (terrorisme) 4-Fenêtre box en Snort 21 AttaquanteCible
Test de connectivité avec une machine Windows 22 Capture les paquets Cherche la présence d’une chaine de caractère dans les paquet Afficher un message d’alerte « Ping issue d’une machine Windows » oui
Attaque de type DOS (déni de service) 23 Capture les paquets Nombre de connexion pendant une durée de temps >= Seuil définie par l’utilisateur(100paquets pendant 5s) Affiche un message d’alerte «une attaque DOS détecté » oui
Détection par mot-clé (terrorisme) 24 Capture les paquets Cherche la présence d’un mot-clé « terrorisme » Affiche un message d’alerte « Ping issue d’une machine Windows » oui
Fenêtre box en Snort 25 alert SNORT Données Vérification de l’inscription de nouvelles alertes dans le fichier « alert » Affiche les alertes dans une fenêtre box oui Création d’un script shell(programme) qui permet:
Snort en mode détection d’intrusion et l’enregistrement dans la base de données 26
Conclusion La sécurité à 100% reste un idéal à atteindre Bien formaliser une politique de sécurité 27
Perspectives Prévenir les personnes chargées de la sécurité par: ◦ Courrier électronique ◦ Téléphone Mode graphique 28