IDS : Intrusion Detection System Le trafic habituel qui entre dans votre réseau sert à : Résoudre des requêtes DNS Accéder à des pages web La messagerie SMTP … Un certain pourcentage du trafic sert en fait à des actions malicieuses : Reconnaître quelles sont les ressources disponibles sur votre réseau Lancer une attaque de type « déni de service » pour  la disponibilité de vos serveurs Ouvrir une « back door » dans votre réseau RE16

IDS : Intrusion Detection System Un IDS est normalement capable de détecter ce genre de trafic… L’IDS sert d’abord à déterminer si des attaques arrivent sur votre réseau. Les attaques classiques arriveront en premier Un IDS « standard » est suffisant dans la phase d’observation Il va permettre de savoir ce qui arrive sur votre réseau : 10 reconnaissances par jour ? 1000 reconnaissances par jour ? Si vous êtes l’objet d’attaques fréquentes et variées, un IDS dernier modèle va être indispensable… RE16

Les 2 types d’IDS Analogy based IDS Capture du trafic pendant une période de temps hugée représentative Compare ensuite les propriétés (statistiques, temporelles, …) du trafic courant à cette mesure de référence Détecte de nouvelles attaques sans mise à jour du système Génère beaucoup de fausses alertes dans le cas où la forme du trafic évoue dans le temps RE16

Les 2 types d’IDS Signature based IDS Comparaison du trafic à une base de signatures, en regardant les en-têtes et la charge utile des paquets Beaucoup moins de fausses alarmes Incapable de détecter de nouvelles attaques sans une mise à jour régulière de la base des signatures RE16

Networ-based IDS (NIDS) IDS : placement L’IDS peut être exécuté par : Le firewall filtrant Un équipement spécialisé qui va alors agir sur les filtres du firewall. Cet équipement doit être placé en série ou en sonde à l’entrée du réseau Cet équipement doit avoir de bonnes capacités de traitement car il vérifie tous les flux ! Sur un serveur particulier pour protéger ce serveur Peut aussi être compliqué quand il y a beaucoup de serveurs Networ-based IDS (NIDS) Host-based IDS (HIDS) RE16

IDS : placement L’IDS peut être placé de deux manières : In-line : en série Inspecte forcément tout le trafic Peut directement agir sur le trafic par filtrage Passive Monitiring : passif ou sonde N’est pas obligé de tout inspecter Fait agir le routeur ou la firewall (retard) RE16

IDS : placement En tête de réseau, on compare ce que détecte l’IDS sur le lien public, avec ce qu’il détecte après le premier filtrage Si il y a des VPNs sur le firewall, le premier IDS ne verra rien dans les paquets cryptés Il faut donc en utiliser un autre avant le réseau interne Le coût peut être très élevé RE16

IDS : logiciel + matériel RE16

IDS : logiciels Computer Associates : eTrust® Secure Content Manager

IDS : mise en garde Mise en garde : Les IDS sont des systèmes « jeunes » dont la fiabilité n’est pas totale Cela ne doit en aucun être l’unique moyen de protection Un firewall correctement installé doit utiliser tous les outils déjà vus dans ce cours Les IDS peuvent : Indiquer des attaques qui n’en sont pas (fausses détections) Ne pas détecter de vraies attaques (absence de détection) RE16

IDS : actions Un IDS peut avoir plusieurs actions : Générer des alarmes sans bloquer les paquets Mettre fin « poliment » aux sessions suspectes Bloquer les sessions suspectes Des alarmes sont générées dans tous les cas ! RE16

IDS : signatures Un IDS cherche l’apparition de séquences particulières dans : Les en-têtes (type « context ») La charge utile des paquets (type « content ») Un paquet (type « atomic ») Une série de paquets (type « compound ») Une série de paquets appartenant à des sessions différentes (type « compound ») RE16

IDS : signatures Les attaques connues sont rangées en plusieurs catégories : Information : tout ce qui peut en fait être considéré comme « normal » sur le réseau comme les « echo request ICMP » Reconnaissance : requêtes vers des ressources qui ne sont normalement pas disponibles Ping sweeps, DNS queries, port scanning Access : tout ce qui a pour but de prendre le contrôle d’une machine de votre réseau Requêtes particulières, exploitation des défauts des systèmes d’exploitation Denial of Service : tout ce qui a pour but de diminuer les performances d’une machine, voire de la rendre indisponible TCP SYN floods, ping of death, smurf, fraggle trinoo, … RE16

IDS : signatures Ordre de grandeur : Sur les derniers IOS cisco, plus de 1640 signatures sont reconnues ! Cisco%20IOS%20IPS%20Supported%20Signature%20List%A0%20%5BCisco%20IOS%20Intrusion%20Prevention%20System%20(IPS)%5D%20-%20Cisco%20Systems.mht cdccont_0900aecd8039e2e4.pdf Top 10 de attaques les plus fréquentes : mailto:MySDN-Security@Cisco%20-%20Cisco%20Systems.mht RE16