| |
|
 |
| Infrastructure IDS |
|
| |
L'intégration d'une architecture de détection
d'intrusion au sein du système d'information permet la collecte
d'informations précises et concrètes sur l'état des
menaces pesant sur le système d'informations et la détection
des violations de la politique de sécurité (violations survenant
malgré l'architecture sécurité mise en place).
L'exploitation d'une telle architecture autorise également la détection
d'une attaque ou de ses préambules, permettant, ce faisant, la
mise en oeuvre rapide et efficace des moyens de défense appropriés.
|
|
|
| |
L'infrastructure de détection d'intrusion
|
|
|
| |
|
Un système de détection d'intrusion (IDS)
est destiné à automatiser la détection d'une violation
ou d'une tentative de violation de la politique de sécurité
mise en oeuvre au sein d'un système d'information. Il est composé
d'éléments distincts assurant l'analyse des évènements
sécurité en temps réel ou différé,
l'agrégation et la corrélation de ces mêmes évènements
et la mise oeuvre des procédés d'alertes et de réaction
appropriés.
Les IDS peuvent être classés selon plusieurs critères
: la méthode de détection employée (approche comportementale
ou approche par scénario), la source d'information utilisée
par la sonde (réseau - NIDS, système HIDS,
application, autre) et le comportement à adopter lors de la détection
d'un incident.
Le comportement adopté par les IDS lors de la détection
d'un incident peut être passif - émission d'alertes - ou
actif - prise en compte de mesures correctives.
L'objectif des systèmes de détection d'intrusion étant
d'alerter lors d'une violation de la politique de sécurité,
l'une des principales limitations provient de l'émission, en rafale
ou au mauvais moment, d'alertes non pertinentes. Ce ratio signal/bruit
est caractérisé par deux types de seuils qu'il convient
de limiter :
|
|
| |
|
|
| |
 |
La génération de faux positifs (le
système génère une alerte pour un événement
autorisé) provient essentiellement de règles imprécises
ou de l'emploi inconsidéré de règles standard
dans un environnement particulier. |
| |
|
La génération de faux négatifs
(le système ne génère pas d'alerte pour une
violation de la politique de sécurité) est plus problématique
car témoignant d'une absence de règle pour l'évènement
considéré. |
|
|
|
| |
|
Une sonde de détection d'intrusion réseau
NIDS est chargée de détecter les violations de la
politique de sécurité en analysant le trafic réseau.
Elle reconstruit, pour ce faire, les divers flux réseau qu'elle
capture et tente d'en analyser chaque couche (au sens du modèle
OSI).
Une sonde de détection d'intrusion système HIDS est
chargée de détecter les violations de la politique de sécurité
en analysant divers types de données générées
par le système sur lequel elle réside.
Les composants d'administration permettent une surveillance approfondie
des attaques en cours et une capacité de filtrage et d'analyse
complète pour l'analyste si une gestion d'incident doit avoir lieu.
Ils permettent également l'affinement des types d'alertes ou la
préparation de nouveaux types d'alertes à prendre en compte
dans la politique d'exploitation.
Les composants de gestion de l'infrastructure sécurité
permettent, selon les rôles définis dans la politique d'exploitation
:
|
|
| |
|
|
| |
|
la détection et la gestion d'évènements
sécurité qualifiés comme incidents ; |
| |
|
la génération de rapports décisionnels
et techniques sur les incidents spécifiés ; |
| |
|
la génération de rapports sur des
attaques non prévues ou dont la détection n'est pas
encore implémentée ; |
|
|
etc... |
|
|
|
| |
|
Les prestations proposées par Lynx Technologies |
|
|
| |
|
|
| |
|
Définition de la stratégie d'exploitation
:
La stratégie d'exploitation de l'infrastructure IDS
définit les menaces et les risques encourus par le système
d'information conformément à la politique de sécurité
afin d'établir un classement par catégorie et par
priorité des violations potentielles de la politique de sécurité
que l'infrastructure IDS devra être en mesure de détecter.
Cette stratégie d'exploitation est spécifiquement
adaptée aux contextes et ressources du système
d'information.
|
| |
|
Définition et mise en oeuvre de la politique
d'exploitation :
La politique d'exploitation définit les processus
d'application de la stratégie d'exploitation sur l'infrastructure
IDS existante. Elle s'intègre totalement à la politique
de sécurité en vigueur sur le système d'information.
Toute modification de configuration de l'infrastructure est mentionnée
dans cette politique et toute mise à jour de la politique
est répercutée sur l'infrastructure.
|
|
|
Administration de l'infrastructure IDS. |
|
|
 |
