IDS : détecter sans bloquer
Un système de détection d'intrusion (IDS) surveille le trafic réseau pour identifier des menaces connues ainsi que des comportements suspects. Dès qu'une anomalie est repérée, il génère une alerte à destination des équipes sécurité — mais n'intervient pas lui-même sur le trafic.
Pour le projet Solaris, j'ai retenu une architecture combinant deux familles de sondes complémentaires :
NIDS — surveillance du réseau
Des sondes NIDS (Network IDS) sont déployées au sein du réseau pour surveiller le trafic entrant et sortant. Elles analysent les communications échangées entre les équipements connectés et l'extérieur pour repérer les activités malveillantes ou suspectes, sans dépendre de ce qui se passe sur chaque poste individuellement.
HIDS — surveillance des postes
En complément, un HIDS (Host IDS) est installé directement sur les postes et serveurs critiques. Il détecte les menaces provenant de l'intérieur de l'entreprise, ainsi que du trafic malveillant qu'un NIDS pourrait ne pas identifier — par exemple un poste déjà infecté par un malware tentant de se propager dans le réseau interne.
IPS : détecter et bloquer
Un système de prévention d'intrusion (IPS) va plus loin : il ne se contente pas de surveiller, il intervient en temps réel pour bloquer activement une attaque avant qu'elle ne se concrétise — coupure de connexion, rejet de paquets, mise en quarantaine du flux suspect.
Où placer les sondes ?
Les critères qui ont guidé le positionnement des sondes dans l'architecture Solaris :
- En coupure sur les points d'entrée/sortie (interconnexion avec Internet, liens inter-sites) pour le NIDS/IPS périmétrique — c'est là que le trafic non filtré est le plus risqué.
- Sur les segments sensibles du LAN (serveurs de données, applications métier) pour détecter une propagation latérale une fois qu'un attaquant a déjà un pied dans le réseau.
- Sur les postes et serveurs critiques pour le HIDS, en particulier ceux qui hébergent des données réglementées (RGPD) ou qui sont exposés au télétravail.
IDS ou IPS : comment choisir ?
| Critère | IDS | IPS |
|---|---|---|
| Action | Détecte et alerte | Détecte et bloque |
| Position | En dérivation (miroir de trafic) | En coupure (inline) |
| Risque de faux positif | Faible impact (juste une alerte) | Peut bloquer du trafic légitime |
| Usage typique | Analyse forensique, tuning des règles | Protection active en production |
Dans la pratique, on démarre souvent en mode IDS pour affiner les règles de détection sans risquer d'interrompre du trafic légitime, puis on bascule les règles éprouvées en mode IPS une fois la confiance établie.
Ce qu'il faut retenir
- NIDS et HIDS se complètent — l'un couvre le réseau, l'autre couvre les postes.
- Un IDS alerte, un IPS bloque : le second implique un risque de faux positif à maîtriser avant mise en production.
- Le positionnement des sondes doit suivre les flux à risque : périmètre, segments sensibles, postes critiques.