NIDS (Network Intrusion Detection System): définition, avantages et inconvénients

Qu'est-ce qu'un système de détection des intrusions dans le réseau (NIDS) ?

Un système de détection des intrusions dans le réseau (NIDS) est une application logicielle qui permet de détecter et de signaler les problèmes de sécurité du réseau en surveillant les activités du réseau ou du système à la recherche de comportements malveillants ou anormaux.

‍

Comment fonctionne le NIDS ?

Le NIDS fonctionne en examinant une variété de points de données provenant de différentes sources au sein du réseau. Les en-têtes de paquets, les statistiques et les flux de données des protocoles/applications sont analysés pour déterminer si une activité malveillante ou anormale a eu lieu. Elle peut être utilisée pour identifier d'éventuelles failles de sécurité sur un système, notamment les renifleurs et les attaques sur des services tels que HTTP/S, SMB, SSH, etc.

Il existe deux types de systèmes de détection d'intrusion en réseau :

1. Les capteurs réseau

Les capteurs réseau sont souvent des appareils ou des applications dédiés qui fonctionnent exclusivement comme des NIDS. Le capteur surveille et analyse le trafic réseau à la recherche de comportements malveillants. Le capteur peut être situé à différents endroits du réseau, en fonction de l'endroit où il est nécessaire. Par exemple, un routeur peut avoir un capteur installé pour surveiller le trafic qui passe par le routeur ou un commutateur peut avoir un capteur qui surveille le trafic lorsqu'il passe d'un port à un autre.

2. Les systèmes de détection d'intrusion basés sur l'hôte

Pour ce type de système, le capteur est un logiciel qui surveille le trafic réseau à partir d'un seul hôte sur le réseau. Dans la plupart des cas, un IDS basé sur l'hôte est utilisé uniquement pour surveiller le trafic au sein de l'hôte local ou d'un service ou d'une application particulière. Toutefois, dans certains cas, il peut surveiller les paquets qui traversent un pare-feu d'un réseau à un autre ou surveiller l'activité d'un hôte entier exécutant plusieurs services et applications à la fois.

‍

‍

Quels sont les avantages et inconvénients d’un NIDS?  

Il existe plusieurs avantages et inconvénients liés au déploiement d'un système de détection d'intrusion en réseau sur le réseau de votre organisation. Voici quelques avantages :

• Détection des logiciels malveillants (connus et inconnus) : Un NIDS peut être configuré pour détecter les types courants de logiciels malveillants, ainsi que les menaces nouvelles ou inconnues, de sorte que vous saurez rapidement si des pirates ont compromis vos systèmes.
• Réduction du temps d’arret : Dès qu'une intrusion est détectée, le NIDS interrompt immédiatement le processus et vous alerte afin que vous puissiez réagir rapidement pour éviter d'autres dommages.
• Prévention d’attaques : Le NIDS surveille en permanence le trafic réseau pour identifier les activités suspectes et les bloquer avant que les pirates ne puissent accéder à votre système.
• Détection des appareils compromis : Un NIDS peut détecter quand l'ordinateur d'un utilisateur a été compromis, de sorte que l'attaquant ne puisse pas accéder à d'autres machines sur le réseau ou utiliser la machine compromise comme vecteur d'attaque vers d'autres parties de l'infrastructure informatique de votre entreprise.

‍

Qu’en est il des inconvénients du réseau NIDS ?

Les inconvénients associés au déploiement du système de détection d'intrusion en réseau sont les suivants :

• Fréquence des mises à jour : Il est important de mettre à jour régulièrement votre NIDS afin qu'il continue à reconnaître les menaces connues et à en détecter de nouvelles. Il existe plusieurs façons d'effectuer cette mise à jour ; les mises à jour sont essentielles au succès de votre NIDS.
• Configuration poussée nécessaire : Pour être le plus efficace possible, un NIDS doit être configuré avec des informations sur le fonctionnement normal de votre réseau et sur les types d'activités qui doivent déclencher une alerte. Cela peut exiger un certain effort de votre part mais vous permettra de recevoir des alertes pour des comportements suspects ou des logiciels malveillants uniquement après leur détection.

Maintenance régulière obligatoire : De nombreux systèmes nécessitent une mise à jour et une configuration manuelles et doivent donc être gérés en permanence par le personnel informatique pour être le plus efficace possible. Si vous ne disposez pas de ressources informatiques dédiées à la maintenance du système, il peut être nécessaire de le retirer de votre réseau jusqu'à ce que ces ressources soient disponibles.