Détection d’intrusions Illustration avec Snort
Introduction Pourquoi un IDS ? Truc bidule machin
Les différents IDS Les NIDS Les HIDS Les IPS Network Intrusion Detection System Les HIDS Host Intrusion Detection System Les IPS Intrusion Protection System
Les NIDS
Les HIDS
Les IPS
Les techniques de détéction L'analyse comportementale Vérification de la pile protocolaire Vérification des protocoles applicatifs La gestion de ressources Le Pattern matching
L'analyse comportementale Basé sur les “habitudes” Nécessite un apprentissage péalable Peu fiable sur certains réseaux
Vérification de la pile protocolaire Comparaison au travers de structures définis Peu de fausses erreurs
Vérification de la pile protocolaire
Vérification des protocoles applicatifs Analyse du contenu et non de la structure
La gestion de ressources Surveillance précise des ressources CPU RAM HDD etc Peu pratique sur des réseaux importants Plutôt utile sur HIDS
Le Pattern Matching Comparaison à une base de signatures Charge CPU élevée quand traffic important Nécessite une mise à jour de la BDS
Le Pattern Matching
Les alertes Affichage temp réel Génération de fichier Log Enregistrement Base de donnée Envoi traps SNMP Et bien d’autres ...
Snort Présentation Possibilités Structure de Snort La détection Interface (exemple avec BASE) Les addons Démo
Présentation Open Source (GPL) Codé parMarty Roesch Repris Sourcefire, Inc. Snort est un moteur de détection Add-ons disponibles Alertes Configuration Rules
Possibilités Détection signatures et anomalies Communauté active Mise à jours Gére détection et prévention Prévention grâce à Snort Inline FlexResp2
Structure
Interfacage BASE ACID SGUIL Module Squert
BASE Basic Analysis and Security Engine Interface Web Rapports Graphique Visualisation temps réel
BASE
SGUIL Même principe que Base Pas d’interface Web Module Squert : Compte rendu léger
SGUIL
Addons Oinkmaster Gestion de mises à jours : Officielles Bleeding Snort Tiers
Addons Snort Inline IPS basé sur snort Permet la communication avec parefeu Récupération de données Mise en place de contremesures
Techniques Anti-IDS ROMAIN
Conclusion Plus non négligeable Sécurité ne peut être garantie à 100% Nécessite une implémentation correct Peu avoir des effets inverses
Démo