IPS : Intrusion Prevention System
Sécurité
IPS : Intrusion Prevention System. « Système de prévention d'intrusion », par analogie avec le vigile qui, au lieu de noter la plaque du voleur, baisse la barrière.
En coupure : Placé en ligne sur le flux, l'IPS inspecte les paquets et bloque ou réinitialise ce qui correspond à une signature ou à un comportement suspect, là où l'IDS se contente d'alerter.
Signatures et comportements : Il combine des signatures d'attaques connues et des règles de détection d'anomalies ; des moteurs comme Suricata savent fonctionner dans les deux modes, détection ou blocage.
Le prix du blocage : Un faux positif d'IDS produit une alerte ; un faux positif d'IPS coupe un service. D'où la tentation durable de le laisser en mode détection, ce qui en fait un IDS vendu plus cher.
Angle mort : Le trafic chiffré lui échappe, sauf à le déchiffrer en amont, ce qui soulève d'autres questions de confiance et de confidentialité.
Ce qui arrive si on s'en passe
Sans prévention d'intrusion en ligne, une attaque réseau reconnaissable (exploitation d'une vulnérabilité connue sur un service exposé, balayage suivi d'une tentative d'intrusion, trafic vers un serveur de commande malveillant répertorié) traverse le réseau jusqu'à sa cible. Au mieux, un système de détection la signale, et il faut qu'une personne lise l'alerte et réagisse à temps. Entre la publication d'une vulnérabilité et le déploiement du correctif, plus aucun filet ne bloque au passage les exploitations connues. Cela ne dispense ni des correctifs ni de la segmentation : un IPS ne voit que ce qu'il sait reconnaître.
Explication de la marmotte
Imaginer un agent de sécurité posté à l'entrée d'un bâtiment, qui connaît les ruses habituelles des cambrioleurs. Quand quelqu'un arrive avec un comportement suspect, il ne se contente pas de le noter dans un carnet : il lui barre la route. Ce système fait la même chose pour un réseau informatique. Il regarde passer les échanges et bloque aussitôt ceux qui ressemblent à une attaque connue. Il lui arrive parfois de se tromper et d'arrêter quelqu'un d'honnête.
Où ce terme est utilisé
- Menaces réseau, détection et réponse opérationnelle (5 occurrences)
- Configurer Suricata sur un segment réseau critique (2 occurrences)
- Wi-Fi d’entreprise et sécurité radio (1 occurrence)