IDS : Intrusion Detection System
Sécurité
IDS : Intrusion Detection System. « Système de détection d'intrusion », par analogie avec la caméra de surveillance d'un magasin : elle voit le voleur, elle ne l'arrête pas.
Deux familles : Un IDS réseau analyse le trafic, souvent sur une copie des flux ; un IDS hôte surveille fichiers, journaux et processus d'une machine. Zeek et Suricata sont des références côté réseau.
Signatures et anomalies : La détection par signatures reconnaît des motifs connus et ignore le reste ; la détection d'anomalies repère l'inhabituel et découvre ainsi que l'inhabituel est la chose la mieux partagée du monde. Les deux approches se complètent.
Détecter n'est pas bloquer : L'IDS alerte, l'IPS bloque. Une alerte que personne ne lit n'a jamais interrompu une intrusion : la valeur d'un IDS tient à la chaîne qui suit, corrélation dans un SIEM, qualification, réponse.
Ce qui arrive si on s'en passe
Sans IDS, un réseau ne dispose d'aucun regard sur ce qui le traverse une fois le pare-feu passé : scans internes, déplacements latéraux, connexions vers des serveurs de commande ou exfiltrations lentes se déroulent sans laisser d'alerte, et l'intrusion n'est découverte que par ses conséquences, souvent des semaines plus tard. Les traces utiles à l'enquête, quand elles existent, restent dispersées. Un IDS mal réglé produit l'effet inverse : un tel volume de fausses alertes que les vraies passent inaperçues. La détection suppose donc un réglage régulier et une équipe qui traite ce qui remonte.
Explication de la marmotte
Imaginons un gardien qui regarde passer toutes les personnes entrant dans un bâtiment et qui connaît les têtes des cambrioleurs recherchés. Dès qu'il en reconnaît un, ou qu'il voit quelqu'un se comporter bizarrement, il donne l'alerte. Ce type d'outil fait la même chose avec les informations qui circulent entre les ordinateurs, ou avec ce qui se passe à l'intérieur d'un ordinateur. Il ne bloque rien lui-même : il prévient les personnes chargées de la sécurité, qui décident ensuite quoi faire. Encore faut-il que quelqu'un lise ses alertes.
Où ce terme est utilisé
- Menaces réseau, détection et réponse opérationnelle (7 occurrences)
- Nmap pour cartographier un réseau, des hôtes aux services exposés (6 occurrences)
- Configurer Suricata sur un segment réseau critique (2 occurrences)
- EBPF pour observabilité et enforcement Linux (2 occurrences)
- Partager le renseignement sur la menace avec ISAC, MISP et STIX (2 occurrences)
- Pourquoi un automate industriel ne se patche pas (2 occurrences)
- Sécuriser un SCADA aux protocoles non authentifiés (2 occurrences)