« Système de détection d'intrusion » : différence entre les versions

Un article de Wikipédia, l'encyclopédie libre.
Navigation interactive dans l’historique
← Modification précédenteModification suivante →
Contenu supprimé Contenu ajouté
VisuelWikicode
→‎Capture : Rajout d'un paragraphe sur la capture de trafic radio.
Aucun résumé des modifications
Ligne 1 : Ligne 1 :
Un '''système de détection d'intrusion''' (ou '''IDS''' : ''{{Langue|en|Intrusion Detection System}}'') est un mécanisme destiné à repérer des activités anormales ou suspectes sur la cible analysée (un réseau ou un [[Ordinateur hôte|hôte]]). Il permet ainsi d'avoir une connaissance sur les tentatives réussies comme échouées des intrusions.
Un '''système de détection d'intrusion''' (ou '''IDS''' : Intrusion Detection System) est un mécanisme destiné à repérer des activités anormales ou suspectes sur la cible analysée (un réseau ou un hôte). Il permet ainsi d'avoir une connaissance sur les tentatives réussies comme échouées des intrusions.


==Description générale==
== Les familles de systèmes de détection d'intrusion ==
Les systèmes de détection d’intrusion sont des outils ayant pour objectifs de détecter des [[cyberattaque | activités malicieuses]] sur la cible qu'ils surveillent<ref name=Decision_Trees>{{harvsp | Kruegel | 2003 | p=173 | id=Decision_Trees}}</ref>. Une alerte sera déclenchée dès lors qu’un comportement malicieux est détecté. Les systèmes de détection d'intrusion sont utilisés en plus des solutions traditionnelles telles que les firewalls, pour détecter différents types d'utilisation malicieuse de leurs cible qui ne peuvent être détecter par ces dernières<ref name=Survey_IDS>{{harvsp | Khraisat | 2019 | p=3 | id=Survey_IDS}}</ref>. Pour cela, de nombreux paramètres doivent être pris en compte selon ce qu’on l’on cherche à surveiller. En effet, le système de détection d'intrusion ne se placera pas au même endroit dans l’[[Architecture de réseau |architecture réseau]]. Celui-ci peut être placé en coupure du réseau, ou sur un [[Hôte (informatique) | hôte]]<ref>{{harvsp | Depren | 2005 | p=1 | id=Intelligent}}</ref>. De plus, la temporalité de l’analyse est un paramètre important, celui-ci peut produire son analyse en [[Système temps réel | temps réel]] ou à posteriori.


Les systèmes de détection d'intrusion vont se baser sur l'écriture de règles de filtrage écrites par les utilisateurs pour effectuer leurs analyses<ref name=Signature_Based>{{harvsp | Kumar | 2012 | p=36 | id=Signature_Based}}</ref>. Dans le cas de [[Snort]], les règles de filtrages seront composées des éléments suivants<ref name=Snort>{{harvsp | Roesch | 1999 | p=232 | id=Snort}}</ref> :
Il existe trois grandes familles distinctes d’IDS :
* l'action (alert, log, pass, activate, dynamic) déterminant le comportement à adopter en cas de détection d'intrusion ;
* le [[ Protocole réseau | protocole]] à filtrer ;
* les [[ Adresse IP | adresses IP]] source et destination ;
* les numéros de [[ Port (logiciel) | ports]] ;
* la direction du trafic (->, <- ou <>), s'il est entrant, sortant ou bidirectionnelle ;
* les options (motifs dans le [[Paquet (réseau) | paquet]], drapeaux, taille, ...).


Ainsi, une simple règle déclenchant une alerte dès qu'un paquet [[TCP]] est reçu par l'adresse 10.1.1.0/24 sur le port 80 s'écrira comme suit<ref name=Snort/> :
* les NIDS (''{{Langue|en|Network Based Intrusion Detection System}}''), qui surveillent l'état de la sécurité au niveau du [[réseau informatique|réseau]] ;
* les HIDS (''{{Langue|en|HostBased Intrusion Detection System}}''), qui surveillent l'état de la sécurité au niveau des [[Ordinateur hôte|hôtes]] ;
alert tcp any any -> 10.1.1.0/24 80
* les IDS hybrides, qui utilisent les NIDS et HIDS pour avoir des alertes plus pertinentes.


==Méthodologie de détection==
Les HIDS sont particulièrement efficaces pour déterminer si un [[Ordinateur hôte|hôte]] est contaminé et les NIDS permettent de surveiller l’ensemble d’un réseau contrairement à un HIDS qui est restreint à un [[Ordinateur hôte|hôte]].


Les systèmes de détection d'intrusion sont généralement classifiés en deux catégories, les systèmes de détection d'intrusion par signatures et les systèmes de détection d'intrusion par anomalies<ref name=Decision_Trees/>.
=== NIDS (IDS réseau) ===
==== Introduction ====
<center>[[Image:Nids.png|350px]]</center>


===Systèmes de détection d'intrusion par signatures===
Un NIDS se découpe en trois grandes parties : la '''capture''', les '''signatures''' et les '''alertes'''.
Les systèmes de détection d'intrusion par signature (ou SIDS : Signature-based Intrusion Detection System), reposent sur des bibliothèques de description des attaques (appelées signatures)<ref>{{harvsp | Kemmerer | 2002 | p=28 | id=Intrusion_Detection}}</ref>. Au cours de l’analyse du flux réseau, le système de détection d'intrusion analysera chaque paquet et une alerte sera émise dès lors qu’une signature sera detectée<ref name="Modern intrusion">{{harvsp | Yeo | 2017 | p=3 | id=Understanding_modern_IDS}}</ref>. Cette signature peut référencer un seul paquet, ou un ensemble (dans le cas d'une [[attaque par déni de service]] par exemple). Cette méthodologie de détection se révèle être efficace uniquement si la base de signatures est maintenue à jour de manière régulière<ref name="Modern intrusion"/>{{,}}<ref name="SNORT_p1">{{harvsp | Kumar | 2012 | p=35 | id=Signature_Based}}</ref>. Dans ce cas, la détection par signatures produit peu de faux-positifs{{refm|"Modern intrusion"|"SNORT_p1"}}{{,}}<ref name=Decision_Trees2>{{harvsp | Kruegel | 2003 | p=174 | id=Decision_Trees}}</ref>. Cependant, une bonne connaissance des différentes attaques est nécessaire pour les décrire dans la base de signature<ref name="SNORT_p1"/>. Dans le cas d'attaques inconnues de la base, ce modèle de détection s'avérera inefficace et ne générera donc pas d’alertes<ref name="Comprehensive review">{{ harvsp | Liao | 2012 | p=17 | id=Review_IDS }}</ref>. La base de signature est donc très dépendante de l’environnement (système d’exploitation, version, applications déployées, …)<ref name="SNORT_p1"/>.


Plusieurs implémentations existent pour effectuer une détection par signature, parmi celles-ci, nous pouvons trouver :
===== Capture =====
La capture sert à la récupération de trafic réseau. En général cela se fait en temps réel, bien que certains NIDS permettent l'analyse de trafic capturé précédemment.


* Les [[arbres de décision]], les règles de filtrage sont représentées sous forme d'arbre de décisions où chaque feuille de l'arbre correspondra à une règle<ref name=Decision_Trees3>{{harvsp | Kruegel | 2003 | p=178 | id=Decision_Trees}}</ref>.
La plupart des NIDS utilisent la bibliothèque standard de capture de paquets ''[[pcap|libpcap]]''. La bibliothèque de capture de paquets ''Packet Capture Library'' est portée sur quasiment toutes les plates-formes, ce qui permet en général aux IDS réseau de suivre.
* Les [[système de transition d'états]], les intrusions sont décrites comme des scénarios, représentés eux-mêmes comme une séquence de transitions qui caractérisent l'évolution des états du système<ref name=Ustat>{{harvsp | Ilgun | 1993 | p=18 | id=Ustat}}</ref>{{,}}<ref name=Stat_tool>{{harvsp | Vigna | 2000 | p=2 | id=Stat_tool}}</ref>.


===Systèmes de détection d'intrusion par anomalies===
Le fonctionnement de la capture d'un NIDS est donc en général fortement lié à cette ''libpcap''. Son mode de fonctionnement est de copier (sous Linux) tout paquet arrivant au niveau de la couche liaison de données du système d'exploitation. Une fois ce paquet copié, il lui est appliqué un filtre BPF (Berkeley Packet Filter), correspondant à l'affinage de ce que l'IDS cherche à récupérer comme information.


Contrairement aux SIDS, les systèmes de détection d'intrusion par anomalies (ou AIDS : Anomaly-based Intrusion Detection System) ne se reposent pas sur des bibliothèques de description des attaques. Ils vont se charger de détecter des comportements anormaux lors de l'analyse du flux réseau. Pour cela, le système va reposer sur deux phases:
Il se peut que certains paquets soient ignorés car sous une forte charge, le système d'exploitation ne les copiera pas.
* Une phase d'apprentissage, au cours de laquelle ce dernier va étudier des comportements normaux de flux réseau.
* Une phase de détection, le système analyse le trafic et va chercher à identifier les événements anormaux en se basant sur ses connaissances.


Cette méthode de détection repose sur de nombreuses techniques d'[[apprentissage supervisé]], telles que :
Le comportement de la ''libpcap'' est différent dans le monde BSD, puisqu'il lui attache le fichier périphérique ''/dev/bpf'', permettant ainsi aux NIDS de ne pas avoir besoin des droits super utilisateur pour capturer le trafic mais simplement de pouvoir lire sur ce fichier sur lequel les filtres sont directement compilés.


* Les [[réseaux de neurones artificiels]]<ref name="Neural_Network">{{harvsp | Debar | 1992 | p=244 | id=Neural_Network}}</ref>
Aussi, le trafic analysé n'est pas forcément égal à celui du trafic entrant, étant donné que la ''libpcap'' agit à une couche en dessous du pare-feu (qui agit au niveau réseau).
* Le [[modèle de Markov caché]]<ref>{{harvsp | Wang | 2011 | p=277 | id=HMM_model}}</ref>
* Les [[machines à vecteurs de support]]<ref>{{harvsp | Wang | 2004 | p=358 | id=SVM_1}}</ref>{{,}}<ref>{{harvsp | Zhang | 2015 | p=103 | id=SVM_2}}</ref>


Dans le cas des communications sans-fil, il existe également des méthodes reposant sur la capture des émissions électromagnétiques au niveau couche physique. Dans ce cas, la capture s'affranchit des spécificités des couches supérieures, voire de la modulation utilisée par les protocoles, pour se focaliser sur les caractéristiques physiques des échanges radios, tel que la puissance reçue sur des fréquences distinctes<ref>{{Article |langue=Anglais |auteur1=Jonathan Roux |auteur2=Éric Alata |auteur3=Guillaume Auriol |auteur4=Mohamed Kaâniche |auteur5=Vincent Nicomette |auteur6=Romain Cayre |titre=RadIoT: Radio Communications Intrusion Detection for IoT - A Protocol Independent Approach |périodique=17th IEEE International Symposium on Network Computing and Applications (NCA 2018) |date=Novembre 2018 |issn= |lire en ligne=https://hal.laas.fr/hal-01914981/document |pages= }}</ref>.


À l'heure actuelle, cette technique de détection d'intrusion est reconnue par la communauté comme étant très efficace. En effet, selon les méthodes d'apprentissage implémentées, l'exactitude des résultats peut rapidement atteindre plus de 90% de détection<ref>{{harvsp | Wang | 2011 | p=279 | id=HMM_model}}</ref>{{,}}<ref>{{harvsp | Wang | 2004 | p=363 | id=SVM_1}}</ref>{{,}}<ref>{{harvsp | Zhang | 2015 | p=106 | id=SVM_2}}</ref>.
===== Signatures =====
Les bibliothèques de signatures (approche par scénario) rendent la démarche d'analyse similaire à celle des antivirus quand ceux-ci s'appuient sur des signatures d'attaques. Ainsi, le NIDS est efficace s'il connaît l'attaque, mais inefficace dans le cas contraire. Les outils commerciaux ou libres ont évolué pour proposer une personnalisation de la signature afin de faire face à des attaques dont on ne connaît qu'une partie des éléments. Les outils à base de signatures requièrent des mises à jour très régulières.


===Hybride===
Les NIDS ont pour avantage d'être des systèmes temps réel et ont la possibilité de découvrir des attaques ciblant plusieurs machines à la fois. Leurs inconvénients sont le taux élevé de faux positifs qu'ils génèrent, le fait que les signatures aient toujours du retard sur les attaques de type 0day et qu'ils puissent être la cible d'une attaque.


Cette méthodologie de détection consiste à reposer à la fois sur un système de détection par signatures et sur un système de détection par anomalies. Pour cela, les deux modules de détection, en plus de déclencher des alertes si une intrusion est détectée, peuvent communiquer leurs résultats d'analyse à un système de décision qui pourra lui-même déclencher des alertes grâce à la corrélation des résultats remontés par les deux modules<ref>{{harvsp | Depren | 2005 | p=714 | id=Intelligent}}</ref>.
===== Alertes =====
Les alertes sont généralement stockées dans les journaux du système. Cependant il existe une norme qui permet d'en formaliser le contenu, afin de permettre à différents éléments de sécurité d'interopérer. Ce format s'appelle [[Intrusion Detection Message Exchange Format|IDMEF]] (pour ''Intrusion Detection Message Exchange Format'') décrit dans la {{RFC|4765}}. IDMEF est popularisé par le projet [[Prelude (système de détection d'intrusion)|Prelude]], qui offre une infrastructure permettant aux IDS de ne pas avoir à s'occuper de l'envoi des alertes. Cela permet aux IDS de n'avoir qu'à décrire les informations qu'ils connaissent et Prelude se charge de les stocker pour permettre une visualisation humaine ultérieure.


L'avantage de cette méthodologie de détection est la combinaison du faible taux de faux-positifs générés par les systèmes de détection d'intrusion par signature, tout en possédant la capacité de détecter des attaques inconnues dans la base de signature grâce à la détection par anomalie<ref>{{harvsp | Kim | 2014 | p=1693 | id=Novel_hybrid}}</ref>.
==== La recherche de motif (pattern matching) ====
La recherche de motif est ce qui permet à un NIDS de trouver le plus rapidement possible les informations dans un paquet réseau. Il existe différents [[Algorithme de recherche de sous-chaîne|algorithmes de recherche de motif]]. Il y a ceux qui sont conçus pour renvoyer des négatifs le plus rapidement possible comme E2xB, d'autres comme [[Algorithme de Boyer-Moore|Boyer-Moore (BM)]] qui sont intéressants lorsqu'il y a peu d'informations stockées en mémoire. Il est convenu que BM est plus efficace que les autres quand il y a moins de 100 signatures. Il existe aussi des extensions à Boyer-Moore qui s'affranchissent de ces restrictions. Ou encore des algorithmes qui sont plus précis et donc plus intéressants dans le cas des NIDS comme [[Donald Knuth|Knuth]]-Morris-Pratt (KMP).


===Temporalité de détection===
Dans le cas d'un NIDS, la recherche de motif est souvent le nœud d'étranglement, pouvant consommer plus de quatre-vingt pour cent de temps de calcul.


Il existe deux types de temporalité dans les systèmes de détection d'intrusion. La détection en temps réel ([[système temps réel]]), et la détection post-mortem ([[analyse forensique]]). Le plus souvent, l'objectif est de remonter les alertes d'intrusion le plus rapidement possible à l'administrateur système. La détection en temps réel sera donc privilégiée. Cette temporalité de détection présente des défis de conception pour s'assurer que le système puisse analyser le flux de données aussi rapidement qu'il est généré<ref>{{harvsp | Ghosh | 2000| p=106 | id=Real_time}}</ref>. Cependant, il est aussi envisageable d'utiliser un système de détection d'intrusion dans le cadre d'analyse post-mortem. Dans ce cas, ce dernier permettra de comprendre le mécanisme d'attaque pour aider à réparer les dommages subis et réduire le risque qu'une attaque du même genre se reproduise<ref>{{harvsp | Lippmann | 2000| p=579 | id=Darpa}}</ref>.
E2xb a été spécialement conçu pour répondre aux besoins des NIDS. Il s'agit d'un algorithme de recherche de motif de domaine spécifique à la détection d'intrusion. C'est un algorithme d'exclusion car il part du principe que la plupart des paquets réseau ne correspondent pas à une signature qui identifie une tentative d'intrusion.


==Familles de systèmes de détection d’intrusion==
==== Analyse ====
En fonction des données qu'ils traiteront, les systèmes de détection d'intrusion peuvent être considérés comme ou étant des systèmes de détection d'intrusion hôtes (analysant les événements au niveau du système d'exploitation), ou réseaux (analysant les événements propres au trafic réseau)<ref name=Decision_Trees2>{{harvsp | Kruegel | 2003 | p=174 | id=Decision_Trees}}</ref>.
À partir des éléments donnés dans l'introduction, le moteur d'analyse met ces éléments de relation en employant plusieurs techniques : la '''défragmentation''', la '''dissection''' protocolaire ou encore l'analyse comportementale.
[[Fichier:Topologie NIDS HIDS.png|centré|Positionnement d'un IDS selon sa famille|vignette|350x350px]]
===Systèmes de détection d'instrusion réseaux===
[[Fichier:Amont.png|vignette|Fig 1 : Placement d'un NIDS en amont d'un Pare Feu]]
[[Fichier:Aval NIDS.png|vignette|Fig 2 : Placement d'un NIDS en aval d'un Pare Feu|alt=]]
Les systèmes de détection d'intrusion réseaux (ou NIDS : Network Intrusion Detection System) sont les IDS les plus répandues<ref>{{harvsp | Kumar | 2007 | p=1 | id=Survey_NIDS}}</ref>. Ce sont des outils très utiles pour l'administrateur réseaux qui va pouvoir, en temps réel, comprendre ce qui se passe sur son réseau et prendre des décisions en ayant toutes les informations <ref>{{harvsp | Niyaz | 2016 | p=1 | id=Deep_Learning}}</ref>.


Ils peuvent être placés à divers endroits sur le réseau, en amont ou en aval d'un pare feu ou encore sur chaque machine, comme un anti virus. Ces IDS vont analyser tout le trafic entrant et sortant du réseau afin d'y déceler des attaques. Cependant, un NIDS placé sur chaque machine ne saura pas détecter toutes les attaques possibles comme les attaques par déni de service ([[DDoS]]) car il ne verra pas tout le trafic réseau, mais que celui qui arrive à la machine finale <ref>{{harvsp | Kumar | 2007 | p=5 | id=Survey_NIDS}}</ref>.
===== La défragmentation =====
Les paquets dépassant une [[Maximum Transmission Unit|certaine taille]] (qui en général est de {{Unité|1500|octets}}) sont fragmentés. La fragmentation de l'en-tête de la couche transport étant aussi possible, cela rendait les NIDS vulnérables aux attaques de Stick et de Snot car les paquets fragmentés n'étaient pas analysés.


Quand un NIDS est positionné en amont d'un pare feu (Fig 1), il pourra alors générer des alertes pour le pare feu qui va pouvoir filtrer le réseau<ref name="kumar_NIDS">{{harvsp | Kumar | 2007 | p=4 | id=Survey_NIDS}}</ref>. Placé en aval du pare feu (Fig 2), le NIDS produira moins de faux positifs, car le trafic réseau qu'il analysera aura déjà été filtré par le pare feu<ref name="kumar_NIDS"/>.
Les NIDS ont le devoir de défragmenter les paquets avant analyse, afin de ne pas manquer une attaque. Il s'agit d'une opération relativement complexe, étant donné que chaque [[Ordinateur hôte|hôte]] de destination ne défragmente pas de la même façon, selon le système d'exploitation sur lequel l'attaque est visée. Il s'agit encore d'une technique d'évasion utilisable aujourd'hui car les NIDS ne sont pas forcément configurés correctement pour gérer un cas précis.


Avec l'arrivée du [[Cloud computing]], le positionnement des sondes dans le réseau devient stratégique. En effet, n'importe qui peut louer une machine chez un hébergeur et attaquer une autre machine louée par quelqu'un d'autre chez le même hébergeur. On parlera alors d'attaque interne. Dans ce type d'attaque, les solutions disposées en bordure du réseau ne détecteront pas ces attaques, il est donc nécessaire de disséminer plusieurs NIDS au sein de l'infrastructure Cloud afin de les détecter.<ref>{{harvsp | Riquet | 2015 | p=40 | id=Discus}}</ref>
===== La dissection =====


Dès qu'une attaque est détectée, que ce soit par signature (SIDS) ou anomalies (AIDS), une alerte est remonté afin de pouvoir prendre une décision sur l'action à effectuer, soit par un IPS (Système de prévention d'intrusion), soit par l'administrateur.
La dissection permet de comprendre un protocole donné, de le décoder pour l'analyser. Il s'agit de la partie la plus sensible des NIDS car c'est elle qui est le plus grand vecteur d'attaques.


Les NIDS peuvent être complétés par d'autre technologie comme l'[[apprentissage automatique]], qui va venir se greffer à un NIDS qui procède par AIDS, appelé ADNIDS (Anomaly Detection base NIDS). Différentes techniques de deep learning ont déjà été appliqué aux problèmes des ADNIDS, comme les [[réseaux de neurones artificiels]] ou encore les [[machines à vecteurs de support]] par exemple. L'ajout de ces techniques au IDS réseaux permettent de détecter plus d'attaques inconnues, contre lesquelles un NIDS classique fonctionnant avec un SIDS ne pourrait pas détecter. Il est envisagé que le deep learning va participer à surmonter les défis liés au développement d'un NIDS efficace<ref>{{harvsp | Djemaa | 2011 | p=303 | id=Hybrid_NIDS}}</ref>{{,}}<ref>{{harvsp | Fiore | 2013 | p=22 | id=NIDS_RBM}}</ref>.
Cependant, la dissection est essentielle sur certains protocoles, comme [[Remote procedure call|RPC]], afin de pouvoir détecter des attaques qui seraient invisibles sans cette indispensable dissection. Cette étape permet aussi de récupérer un champ précis d'un protocole applicatif ce qui peut simplifier l'écriture de signatures.
{{clr}}


===Systèmes de détection d'intrusion hôtes===
Dans l'exemple de [[Hypertext Transfer Protocol|HTTP]], le serveur [[Internet Information Services|IIS]] de [[Microsoft]] interprète indifféremment le [[Codage des caractères|caractère]] [[Barre oblique|'/' (slash)]] comme le caractère [[Barre oblique inversée|'\' (backslash)]]. Ce qui a pour conséquence de permettre à un attaquant l'évasion de signature, si celle-ci cherche à repérer un '/', comme dans le cas d'une traversée de répertoires (../../../../). Une NIDS moderne se doit d'être capable d'interpréter l'un ou l'autre et se spécialiser sur la cible qui interprétera les données finales. Cet exemple avec les caractères '/' vaut aussi pour les caractères qui peuvent être encodés en [[UTF-8]], voire dans d'autres [[Codage des caractères|jeux de caractères]] que le logiciel finira par interpréter correctement, y compris l'attaque.
Les systèmes de détection d'intrusion hôte (ou HIDS : Host-based Intrusion Detection System) sont des IDS mis en place directement sur les machines à surveiller. Ils vont directement analyser les fichiers de la machine, les différents appels système et aussi les événements réseaux<ref name="HIDS_DAS">{{harvsp | Das | 2014 | p=2266 | id=Survey_HIDS_NIDS}}</ref>{{,}}<ref>{{harvsp | Riquet | 2015 | p=13 | id=Discus}}</ref>. Par conséquent ces analyses sont strictement limitées à la machine sur laquelle l'HIDS est installée et n'ont aucune vue sur le réseau<ref>{{harvsp | Bace | 1998 | p=1 | id=Intro_IDS}}</ref>.


Les HIDS agissent comme des antivirus mais en plus poussé, car les antivirus ne sont intéressés que par les activités malveillante du poste alors qu'un HIDS va pouvoir intervenir s'il détecte des attaques par [[dépassement de tampon]] et concernant les processus système par exemple<ref name="HIDS_DAS"/>.
=== HIDS (IDS machine) ===


La fonction de base d'un HIDS est l'inspection des fichiers de configuration du système afin d'y déceler des anomalies<ref>{{harvsp | Bace | 1998 | p=12 | id=Intro_IDS}}</ref> contre les [[rootkit]] notamment. Et utilisent des [[Fonction de hachage|sommes de contrôle]] ([[MD5]], [[SHA-1]]…) des programmes exécutables pour s'assurer qu'ils n'ont pas été modifiés.
Les HIDS, pour Host based IDS, signifiant "Système de détection d'intrusion machine" sont des IDS dédiés à un matériel ou système d'exploitation. Généralement, contrairement à un NIDS, le HIDS récupère les informations qui lui sont données par le matériel ou le système d'exploitation. Il y a pour cela plusieurs approches : signatures, comportement (statistiques) ou délimitation du périmètre avec un système d'[[Access Control List|ACL]]. Un HIDS se comporte comme un [[Daemon (informatique)|daemon]] ou un service standard sur un système [[Ordinateur hôte|hôte]] qui détecte une activité suspecte en s’appuyant sur une norme. Si les activités s’éloignent de la norme, une alerte est générée. La machine peut être surveillée sur plusieurs points :


Étant donné que les HIDS sont installés directement sur les machines, quelqu'un de malveillant qui aurait réussi à prendre le contrôle de la machine pourrait sans mal désactiver l'HIDS<ref>{{harvsp | Glass-Vanderlan | 2018 | p=3 | id=Survey_IDS_HIDS}}</ref>.
* Activité de la machine : nombre et listes de processus ainsi que d'utilisateurs, ressources consommées, ...
* Activité de l'utilisateur : horaires et durée des connexions, commandes utilisées, messages envoyés, programmes activés, dépassement du périmètre défini...
* Activité malicieuse d'un [[Ver informatique|ver]], [[Virus informatique|virus]] ou [[Cheval de Troie (informatique)|cheval de Troie]]


===Systèmes de détection d'intrusion collaboratif===
Un autre type d'HIDS cherche les intrusions dans le « noyau » (kernel) du système, et les modifications qui y sont apportées. Certains appellent cette technique « analyse protocolaire ». Très rapide, elle ne nécessite pas de recherche dans une base de signature. Exemples de contrôles pour Windows ...
[[Fichier:Centralisee.png|vignette|Approche centralisée d'un CIDS]][[Fichier:Hierarchique.png|vignette|Approche hiérarchique d'un CIDS]][[Fichier:Distribuee.png|vignette|Approche distribuée d'un CIDS]]
* ''EPROCESS'' (structure de données en mode noyau contenant des informations qui peuvent permettre de cacher un processus),
Les systèmes de détection d'intrusion collaboratif (ou CIDS : Collaborative Intrusion Detection System) sont des systèmes reposant sur d'autres IDS, de ce fait le CIDS peut opérer sur des systèmes hétérogène.
* Les [[Processus informatique|processus]] fonctionnant en mode « noyau »
Il existe trois façons de mettre en place un CIDS, l'approche centralisée, l'approche hiérarchique et l'approche distribuée.
* Les fonctions logicielles système ou de gestion de périphérique présentes dans l'ordinateur.
* La [[System Service Dispatch Table|SSDT (System Service Dispatch Table)]] table utilisée par Windows pour diriger des appels de système vers un traitement approprié : table d'adressage des interruptions.
* etc.


L'approche centralisée se compose de deux éléments, le système expert et les IDS (HIDS ou NIDS). Les IDS vont pouvoir détecter, sur leur réseau local ou sur leur hôte, des anomalies qu'ils enverront au système expert. Il va permettre de déterminer s'il s'agit d'une attaque globale contre les différents systèmes ou plus local, s'il n'a reçu qu'une seule alerte par exemple. Les CIDS déployé sur cette approche ont un très bon taux de détection.
Le HIDS a pour avantage de n'avoir que peu de faux positifs, permettant d'avoir des alertes pertinentes. Quant à ses inconvénients il faut configurer un HIDS par poste et il demande une configuration de chaque système.
Mais ils ont deux désavantages majeurs, le premier est que le système expert tombe en panne, tout le système est inutilisable, il s'agit d'un [[point de défaillance unique]] (single-point of failure en anglais, ou SPOF)<ref>{{harvsp | Riquet | 2015 | p=18 | id=discus}}</ref>{{,}}<ref name=survey_CIDS>{{harvsp | Zhou | 2010 | p=129 | id=survey_CIDS}}</ref>. Le deuxième inconvénient de cette approche est qu'en cas de grosse attaque, il est possible que certaines des alertes reçues soient ignorées en raison de la quantité reçue par le système expert, ou que ces alertes soient traitées plus tard et donc, possiblement, après l'attaque<ref>{{harvsp | Riquet | 2015 | p=19 | id=discus}}</ref>{{,}}<ref name=survey_CIDS/>.
Cette approche a été mise en place pour DIDS (Distributed Intrusion Detection System) par Snapp<ref>{{harvsp | Snapp | 1991| p=1 | id=ddis}}</ref>.


L'approche hiérarchique, va permettre d'éviter le [[point de défaillance unique]], mis en lumière par l'approche centralisée. En effet, dans cette solution, plusieurs nœuds sont chargés de la corrélation des alertes. Un nœud est désigné dans chaque groupe afin qu'il agisse en tant que nœud de corrélation et d'alerte, il va donc analyser les alertes qui viennent de son groupe, les corréler et transmettre une alerte, si besoin, au nœud supérieur. Cette fois-ci si un nœud intermédiaire vient à être désactivé, toute la sous-branche sera inutilisable<ref>{{harvsp | Riquet | 2015 | p=21 | id=discus}}</ref>{{,}}<ref>{{harvsp | Zhou | 2010 | p=130 | id=survey_CIDS}}</ref>.
=== IDS hybride ===


La dernière approche, permet d'éviter d'avoir des points de défaillance, qui pourrait mettre à mal tout le système de détection. Pour cela, chaque nœud est collecteur d'information ainsi qu'analyseur. Ces nœuds détectent localement les attaques et sont capables de corréler les informations des nœuds voisins pour détecter les attaques globales<ref>{{harvsp | Riquet | 2015 | p=22 | id=discus}}</ref>{{,}}<ref>{{harvsp | Zhou | 2010 | p=131 | id=survey_CIDS}}</ref>.
<center>[[Image:Ids hybride.png|250px]]</center>
{{clr}}


===Autres===
Les IDS hybrides sont basés sur une architecture distribuée, où chaque composant unifie son format d'envoi d'alerte (typiquement [[Intrusion Detection Message Exchange Format|IDMEF]]) permettant à des composants divers de communiquer et d'extraire des alertes plus pertinentes.


Il existe également d'autres familles de systèmes de détection d'intrusion. Parmi celles-ci, nous pouvons retrouver les familles suivantes :
Les avantages des IDS hybrides sont multiples :
* WIDS (Wireless Intrusion Detection System) : ce type de système de détection d'intrusion permet de détecter et d'avertir sur les attaques spécifiques aux réseaux sans-fil (découverte de réseau, [[attaque de l'homme du milieu]], [[attaque par déni de service]], ...)<ref>{{harvsp | Haddadi | 2010 | p=85 | id=Wids_lightweight}}</ref>.
* moins de faux positifs ;
* APHIDS (Agent-Based Programmable Hybrid Intrusion Detection System) : ce type de système de détection d'intrusion se base sur des agents autonomes réactifs, capables de communiquer avec d'autres systèmes<ref>{{harvsp | Djemaa | 2012 | p=1 | id=Hybrid_Approach}}</ref>, ou de se déplacer d'hôte en hôte (on parle alors d'agents mobiles), permettant ainsi de réduire l'impact réseau du système de détection d'intrusion pour sa collecte de données<ref>{{harvsp | Onashoga | 2009 | p=670 | id=Strategic_aphids}}</ref>.
* meilleure corrélation ;
* HAMA-IDS (Hybrid Approach-based Mobile Agent Intrusion Detection System), une méthode de détection basée sur des agents mobiles, possédant à la fois une base de signature d'intrusion (SIDS), et une base contenant des informations sur le système recueilli à l'aide de statistiques (peut être assimilé à un AIDS)<ref>{{harvsp | Djemaa | 2012 | p=3 | id=Hybrid_Approach}}</ref>.
* possibilité de réaction sur les analyseurs.


==Exemples de systèmes de détection d’intrusion==
== La corrélation ==
===Systèmes de détection d'instrusion réseaux===

La corrélation est une connexion entre deux ou plusieurs éléments, dont un de ces éléments crée ou influence un autre. Elle se traduit plus généralement par la transformation d'une ou plusieurs alertes en attaque. Cela permet de faciliter la compréhension sur les attaques au lieu de s'éparpiller parmi les alertes.

Idéalement, elle nécessite un IDS Hybride car plus il y a d'informations hétérogènes sur un événement, plus la corrélation se fait d'une façon pertinente. Les formats ayant été normalisés (IDMEF), il ne reste plus qu'à faire des associations afin de détecter des alertes qui n'auraient jamais eu lieu sur un analyseur seul.

Si l'on prend l'exemple d'une authentification échouée, cela génère une alerte de faible intensité. Mais s'il y a une série d'authentifications échouées avec des utilisateurs différents, on peut conclure à une attaque de force brute.

La corrélation permet de générer de nouvelles alertes à partir de celles existantes. C'est une étape préalable à une contre-mesure efficace.

Il y a diverses façons de faire de la corrélation. Cependant on peut définir deux catégories :

* la '''corrélation passive''', correspondant à une génération d'alerte basée sur celles existantes. Nous pouvons prendre par exemple les scans de force brute [[Secure Shell|ssh]] ;
* la '''corrélation active''', qui va chercher les informations correspondant à des alertes émises. Par exemple, lorsqu'une personne se connecte en dehors des heures de travail, cela a une influence importante qui n'aurait pas été en temps normal d'activité.

== L'harmonisation des formats ==

Le format IDMEF (''{{Langue|en|Intrusion Detection Message Exchange Format}}'') décrit une alerte de façon objet et exhaustive. Une alerte est le message qui est émis depuis un analyseur, qui est une sonde en langage IDMEF, vers un collecteur. Le but d'IDMEF est de proposer un standard permettant d'avoir une communication homogène quels que soient l'environnement ou les capacités d'un analyseur donné.

Ces alertes sont définies au format [[Extensible Markup Language|XML]], offrant une possibilité de validation de chaque message. En général, les implémentations restent binaires, afin d'éviter les problèmes connus d'ajout d'information inutiles en dehors d'XML lorsque l'on envoie un message sur le réseau.

IDMEF offre aussi un vocabulaire précis, qu'il est courant d'utiliser dans le domaine de la détection d'intrusions. Par exemple, une classification correspond au nom d'une alerte ; une influence à celui d'un niveau d'attaque.

== La contre-mesure ==
<center>[[Image:Contremesure.png|350px]]</center>
La contre-mesure est l'art de piloter les éléments réseau ou la machine cible, afin d'empêcher une attaque de se propager (''{{Langue|en|Islanding}}'') ou de perdurer. Il s'agit d'une procédure assez compliquée et souvent désactivée.

Ce qui rend la contre-mesure difficile est la définition d'une attaque d'un point de vue formel. Il n'est pas possible de se baser sur des éléments qui génèrent des faux positifs. Et cela peut aussi engendrer un autre problème où l'attaquant se fait passer pour un client du réseau en générant des motifs d'attaque. Cela peut même bloquer le réseau interne si la contre-mesure est mal configurée.

Un système de contre-mesure se configure en général avec une [[liste blanche]], dans laquelle sont mises les IP du réseau interne.

== Liste des IDS connus ==
=== IDS réseau (NIDS) ===


* [[Snort]]
* [[Snort]]
Ligne 132 : Ligne 112 :
* [[Tipping point]]
* [[Tipping point]]


===Systèmes de détection d'instrusion hôtes===
=== IDS système (HIDS) ===

* [[Advanced_Intrusion_Detection_Environment|AIDE]]
* [[Advanced_Intrusion_Detection_Environment|AIDE]]
* [[Chkrootkit]]
* [[Chkrootkit]]
Ligne 144 : Ligne 123 :
* [[Tripwire (logiciel)|Tripwire]]
* [[Tripwire (logiciel)|Tripwire]]


===Hybrides===
Ces IDS servent, entre autres, à vérifier qu'un système n'a pas été compromis (par un [[rootkit]] par exemple). Ils utilisent des [[Fonction de hachage|sommes de contrôle]] ([[MD5]], [[SHA-1]]…) des programmes exécutables pour s'assurer qu'ils n'ont pas été modifiés.

=== IDS hybride ===

* [[Prelude_(système de détection d'intrusion)|Prelude]]
* [[Prelude_(système de détection d'intrusion)|Prelude]]
* {{Lien|OSSIM}}
* {{Lien|OSSIM}}


==Domaines d’application==
== Notes et références ==
===Systèmes distribués===
{{Références}}

{{Article principal | Systèmes_de_détection_et_de_prévention_d'intrusions_dans_les_systèmes_distribués {{!}} Systèmes de détection et de prévention d'intrusions dans les systèmes distribués}}

Les systèmes de détection et de prévention d'intrusions dans les [[système distribué|systèmes distribués]] permettent de repérer et d’empêcher l'intrusion d'un utilisateur malveillant dans un système distribué comme une [[grille informatique]] ou un [[Cloud computing|réseau en nuage]].

===Internet des objets===

{{Article principal | Systèmes_de_détection_et_prévention_d'intrusion_pour_les_réseaux_de_capteurs_sans_fil{{!}}Systèmes de détection et prévention d'intrusion pour les réseaux de capteurs sans fil}}

Avec la constante augmentation des réseaux de capteurs, leur nombre devrait approcher les 26 milliards en 2020<ref name="Iot_detection_survey">{{harvsp | Zarpelao | 2017| p=25 | id=Iot_detection_survey}}</ref>, l'[[internet des objets]] représente de nombreux enjeux de sécurité, notamment dûs à leur faible puissance de calcul, leur hétérogénéité, le nombre de capteurs dans le réseau ainsi que la [[topologie de réseau | topologie du réseau]] du réseau<ref name="Sensor_network">{{harvsp | Chen | 2009 | p=52 | id=Sensor_network }}</ref>{{,}}<ref name="Iot_detection_scheme">{{harvsp | Fu | 2011 | p=315 | id=Iot_detection_scheme}}</ref>. De ce fait, les systèmes de détection d'intrusion traditionnels ne peuvent pas directement être appliqués aux réseaux de capteurs.<ref name="Trust_in_iot">{{harvsp | Sicari | 2015 | p=146 | id=Trust_in_iot}}</ref>. Néanmoins, de nombreuses avancées ont été présentées au cours des années 2000-2010 pour palier à cette problématique<ref name="Iot_detection_survey2">{{harvsp | Zarpelao | 2017| p=27 | id=Iot_detection_survey}}</ref>.

==Systèmes de prévention d'intrusion==
{{Article détaillé | Système_de_prévention_d'intrusion {{!}} Système de prévention d'intrusion}}

===Principe===
Contrairement aux systèmes de détection d'intrusion qui se contentent d'analyser des données pour émettre des alertes, les systèmes de prévention d’intrusions sont des outils permettant de détecter une attaque sur le système monitoré et de mettre en place des mécanismes de défense permettant de mitiger l’attaque<ref name="IPS_review">{{harvsp | Beigh | 2012 | p=667 | id=IPS_review}}</ref>. Pour cela, différentes contre-mesures peuvent être mises en place telles que :

* Re-configurer des équipements réseaux (routeurs, pare-feux, ...) pour bloquer les futures attaques<ref name="Survey_IPS">{{harvsp | Patel | 2010 | p=279 | id=Survey_IDS_IPS}}</ref>
* Filtrer le trafic réseau en supprimant les paquets malicieux<ref name="Survey_IPS"/>

===Les familles de systèmes de prévention d’intrusion===

Tout comme les systèmes de détection d'intrusion, il existe deux grandes familles de systèmes de prévention d'intrusion<ref>{{harvsp | Zhang | 2004 | p=387 | id=Ips_Design}}</ref>{{,}}<ref name=Prevention_replace_detection>{{harvsp | Stiennon | 2002 | p=1 | id=Prevention_replace_detection}}</ref> :

* Les IPS réseau (ou NIPS : Network-based Intrusion Prevention Systems), capables de stopper certaines attaques rapidement et de se protéger des dommages critiques sur un réseau<ref name="Network_detection_prevention">{{harvsp | Shin | 2009 | p=5 | id=Network_detection_prevention}}</ref>
* Les IPS hôtes (ou HIPS : Host-based Intrusion Prevention Systems), capables de bloquer l'accès aux ressources systèmes selon des règles définies par l'administrateur ou par des réponses apprises automatiquement par le système de prévention d'intrusion<ref name=Prevention_replace_detection2>{{harvsp | Stiennon | 2002 | p=4 | id=Prevention_replace_detection}}</ref>. Ce type de système de prévention d'intrusion permet de protéger des serveurs de différentes vulnérabilités<ref name=Prevention_replace_detection>{{harvsp | Stiennon | 2002 | p=1 | id=Prevention_replace_detection}}</ref>.


==L’histoire des IDS==
Avant l’invention des IDS, la détection d’intrusion se faisait à la main, car toutes les traces devaient être imprimées afin que les administrateurs puissent y déceler des anomalies. C’est une activité très chronophage et pas très efficaces, car utilisé après les attaques afin de déterminer les dommages et de retrouver comment les assaillants s’y sont pris pour entrer dans le système.

À la fin des années 70, débuts des années 80, le stockage de données en ligne est de moins en moins couteux, les traces sont migrées sur des serveurs et en parallèle de cette migration de données, du format papier au format numérique, des chercheurs développent les premiers programmes d’analyse de traces<ref>{{harvsp | Saltzer | 1975 | p=1279 | id=Protection}}</ref>, mais cela reste inefficace car ces programmes sont lents et fonctionnent la nuit lorsque la charge sur le système est faible <ref>{{harvsp | Kemmerer | 2002 | p=27 | id=Intrusion_Detection}}</ref>, donc les attaques sont le plus souvent détectées après coup.<br>
En 1980, James Anderson, chercheur à la NSA, introduit le concept d’IDS <ref>{{harvsp | Djemaa | 2012 | p=1 | id=Hybrid_Approach}}</ref>{{,}}<ref>{{harvsp | Innella | 2001| p=1 | id=evolution_ids}}</ref>, mais c’est en 1987 quand Dorothy Denning publie les premiers modèles de détection<ref>{{harvsp | Denning | 1987 | p=222 | id=IDS_model}}</ref> que les IDS vont réellement se développer.<br>

Au début des années 90, apparaissent les premiers programmes d’analyse en temps réel, qui permet d’analyser les traces dès qu’elles sont produites. Cela permet de détecter les attaques plus efficacement, cela a rendues possible dans certains cas de faire de la prévention d’attaque.

Avant l'apparition d'outils de piratage, les attaques perpétrées envers des sites web, étaient menées par des personnes expérimentées<ref name="role_IDS">{{harvsp | McHugh | 2000 | p=43 | id=role_of_IDS}}</ref>. La figure suivante représente les connaissances des attaquants en fonction du temps, on constate donc qu'aujourd'hui, n'importe qui peut attaquer des sites Web sans connaissances préalables<ref name="role_IDS"/>, notamment grâce à ces outils, qui ont été développés dans ce but.
[[Fichier:Connaissances.jpg|alt=|centré|vignette|450x450px|Évolution des connaissances des attaquants en fonction du temps]]
Entre 2006 et 2010, le nombre d'attaques est passé d'environ 5000 à plus de 35000<ref>{{harvsp | Ashoor | 2011 | p=4 | id=Importance_IDS}}</ref>, d'où le besoin d'avoir des IDS performants.

Depuis quelques années, les avancées produite en matières d’IDS est de permettre à l’utilisateur de le déployer dans un large réseau tout en garantissant une sécurité effective à l’heure du changement perpétuel de l’environnement informatique et l’innombrable nouvelles attaques dévoilées chaque jour.

==Références==

{{Références | colonnes=4}}

==Bibliographie==

{{Légende plume}}

* {{plume}}{{article
| lang = en
| id = Snort
| prénom1 = Martin
| nom1 = Roesch
| titre = Snort – Lightweight IntrusionDetection for Networks
| année = 1999
| pages = 229-238
| périodique = Proceedings of LISA '99: 13th Systems Administration Conference
}}

* {{article
| lang = en
| id = Genetic_Algorithm
| prénom1 = Dong Seong
| nom1 = Kim
| prénom2 = Ha-Nam
| nom2 = Nguyen
| prénom3 = Jong
| nom3 = Sou Park
| titre = Genetic Algorithm to Improve SVM Based Network Intrusion Detection System
| année = 2005
| pages = 155-158
| périodique = Proceedings of the 19th International Conference on Advanced Information Networking and Applications (AINA’05)
| doi = 10.1109/AINA.2005.4
| isbn = 0-7695-2249-1
}}

* {{Plume}}{{article
| lang = en
| id = Deep_Learning
| prénom1 = Quamar
| nom1 = Niyaz
| prénom2 = Weiqing
| nom2 = Sun
| prénom3 = Ahmad
| nom3 = Y Javaid
| prénom4 = Mansoor
| nom4 = Alam
| titre = A Deep Learning Approach for Network Intrusion Detection System
| année = 2016
| pages = 41 - 50
| périodique = IEEE Transactions on Emerging Topics in Computational Intelligence
| doi = 10.1109/TETCI.2017.2772792
| issn = 2471-285X
}}

* {{plume}}{{article
| lang = en
| id = Strategic_aphids
| prénom1 = Saidat Adebukola
| nom1 = Onashoga
| prénom2 = Adebayo D.
| nom2 = Akinde
| prénom3 = Adesina Simon
| nom3 = Sodiya
| titre = A Strategic Review of Existing Mobile Agent-Based Intrusion Detection Systems
| année = 2009
| pages = 669 - 682
| périodique = Issue s in Informing Science and Information Technology
| issn = 1547-5867
}}

* {{plume}}{{article
| lang = en
| id = Decision_Trees
| prénom1 = Christopher
| nom1 = Kruegel
| prénom2 = Thomas
| nom2 = Toth
| titre = Using Decision Trees to Improve Signature-Based Intrusion Detection
| année = 2003
| pages = 173–191
| périodique = 6th International Symposium, RAID 2003
| isbn = 3-540-40878-9
}}

* {{Plume}}{{article
| lang = en
| id = Signature_Based
| prénom1 = Vinod
| nom1 = Kumar
| prénom2 = Om Prakash
| nom2 = Sangwan
| titre = Signature Based Intrusion Detection System Using SNORT
| année = 2012
| pages = 35-41
| périodique = International Journal ofComputer Applications & Information Technology
| issn = 2278-7720
}}

* {{Plume}}{{article
| lang = en
| id = role_of_IDS
| prénom1 = John
| nom1 = McHugh
| prénom2 = Alan
| nom2 = Christie
| prenom3 = Julia
| nom3 = Allen
| titre = Defending yourself: The Role of Intrusion Detection System
| année = 2000
| pages = 42-51
| périodique = IEEE Software, Volume: 17 , Issue: 5
| issn = 1937-4194
| doi = 10.1109/52.877859
}}

* {{Plume}}{{article
| lang = en
| id = Importance_IDS
| prénom1 = Asmaa Shaker
| nom1 = Ashoor
| prénom2 = Sharad
| nom2 = Gore
| titre = Importance of Intrusion Detection System (IDS)
| année = 2011
| pages = 1-7
| périodique = International Journal of Scientific and Engineering Research, 2011, vol. 2, no 1
}}

* {{article
| lang = en
| id = System_Calls
| prénom1 = Christina
| nom1 = Warrender
| prénom2 = Stephanie
| nom2 = Forrest
| prénom3 = Barak
| nom3 = Pearlmutter
| titre = Detecting Intrusions Using System Calls:Alternative Data Models
| année = 1999
| pages = 133-145
| périodique = International Journal ofComputer Applications & Information Technology
| doi = 10.1109/SECPRI.1999.766910
| isbn = 0-7695-0176-1
| issn = 1081-6011
}}

* {{Plume}}{{article
| lang = en
| id = Intrusion_Detection
| prénom1 = Richard
| nom1 = A. Kemmerer
| prénom2 = Giovanni
| nom2 = Vigna
| titre = Intrusion Detection: A Brief History and Overview
| année = 2002
| pages = supl27 - supl30
| périodique = Computer
| doi = 10.1109/MC.2002.1012428
| issn = 1558-0814
}}

* {{plume}}{{article
| lang = en
| id = Prevention_replace_detection
| prénom1 = R.
| nom1 = Stiennon
| prénom2 = M.
| nom2 = Easley
| titre = Intrusion Prevention Will Replace Intrusion Detection
| année = 2002
| pages = 1-5
| périodique = Technology, T17-0115
}}

* {{article
| lang = en
| id = Intrusion_Model
| prénom1 = Dorothy
| nom1 = E. Denning
| titre = An Intrusion-Detection Model
| année = 1987
| pages = 118-135
| périodique = IEEE Transactions On Software Engineering
| doi = 10.1109/SP.1986.10010
| isbn = 0-8186-0716-5
| issn = 1540-7993
}}

* {{Plume}}{{article
| lang = en
| id = Neural_Network
| prénom1 = Hervé
| nom1 = Debar
| prénom2 = Monique
| nom2 = Becker
| prénom3 = Didier
| nom3 = Siboni
| titre = A Neural Network Component for an Intrusion Detection System
| année = 1992
| pages = 240-250
| périodique = Proceedings 1992 IEEE Computer Society Symposium on Research in Security and Privacy
| doi = 10.1109/RISP.1992.213257
| isbn = 0-8186-2825-1
}}

* {{article
| lang = en
| id = Mimicry
| prénom1 = David
| nom1 = Wagner
| prénom2 = Paolo
| nom2 = Soto
| titre = Mimicry Attacks on Host-Based Intrusion Detection Systems
| année = 2002
| pages = 255-264
| périodique = CCS '02 Proceedings of the 9th ACM conference on Computer and communications security
| doi = 10.1145/586110.586145
| isbn = 1-58113-612-9
}}

* {{Plume}}{{article
| lang = en
| id = survey_CIDS
| prénom1 = Chenfeng Vincent
| nom1 = Zhou
| prenom2 = Christopher
| nom2 = Lecki
| prenom3 = Shanika
| nom3 = Karunasekera
| titre = A survey of coordinated attacks and collaborative intrusion detection
| année = 2010
| périodique = Computers & Security, Volume 29, Issue 1
| pages = 129-140
| doi = 10.1016/j.cose.2009.06.008
}}

* {{plume}}{{article
| lang = en
| id = Intelligent
| prénom1 = Ozgur
| nom1 = Depren
| prénom2 = Murat
| nom2 = Topallar
| prénom3 = Emin
| nom3 = Anarim
| prénom4 = M. Kemal
| nom4 = Ciliz
| titre = An intelligent intrusion detection system (IDS) for anomalyand misuse detection in computer networks
| année = 2005
| pages = 713-722
| périodique = Expert Systems with Applications
| doi = 10.1016/j.eswa.2005.05.002
| issn = 0957-4174
}}

* {{article
| lang = en
| id = Aphids
| prénom1 = Ken
| nom1 = Deeter
| prénom2 = Kapil
| nom2 = Singh
| prénom3 = Steve
| nom3 = Wilson
| prénom4 = Luca
| nom4 = Filipozzi
| prénom5 = Son
| nom5 = Vuong
| titre = APHIDS: A Mobile Agent-Based Programmable Hybrid Intrusion Detection System
| année = 2004
| pages = 244-253
| périodique = Mobility AwareTechnologies and Applications
| isbn = 3-540-23423-3
| issn = 0302-9743
}}

* {{article
| lang = en
| id = Wireless_Intrusion
| prénom1 = Guoning
| nom1 = Hu
| prénom2 = Deepak
| nom2 = Venugopal
| prénom3 = Shantanu
| nom3 = Bhardwaj
| titre = Wireless intrusion prevention system and method
| année = 2011
| pages = 1-10
| périodique = United States Patent
}}

* {{plume}}{{article
| lang = en
| id = Network_detection_prevention
| prénom1 = Seung Won
| nom1 = Shin
| prénom2 = Jintaz
| nom2 = Oh
| prénom3 = Ki young
| nom3 = Kim
| prénom4 = Jong Soo
| nom4 = Jang
| prénom5 = Sung Won
| nom5 = Sohn
| titre = Network intrusion detection and prevention system and method thereof
| année = 2009
| pages = 1-10
| périodique = United States Patent
}}

* {{Plume}}{{article
| lang = en
| id = Hybrid_Approach
| prénom1 = Boukhlouf
| nom1 = Djemaa
| prénom2 = Kazar
| nom2 = Okba
| titre = Intrusion Detection System: Hybrid Approach based Mobile Agent
| année = 2012
| périodique = International Conference on Education and e-Learning Innovations
| doi = 10.1109/ICEELI.2012.6360647
| isbn = 978-1-4673-2226-3
}}

* {{article
| lang = en
| id = Ips
| prénom1 = Gary Manuel
| nom1 = Jackson
| titre = Intrusion prevention system
| année = 2008
| périodique = United States Patent
}}

* {{plume}}{{article
| lang = en
| id = Ips_Design
| prénom1 = Xinyou
| nom1 = Zhang
| prénom2 = Chengzhong
| nom2 = Li
| prénom3 = Wenbin
| nom3 = Zheng
| titre = Intrusion Prevention System Design
| année = 2004
| périodique = The Fourth International Conference onComputer and Information Technology
| pages = 386-390
| doi = 10.1109/CIT.2004.1357226
| isbn = 0-7695-2216-5
}}

* {{plume}}{{article
| lang = en
| id = ddis
| prénom1 = Steven R
| nom1 = Snapp
| prénom2 = James
| nom2 = Brentano
| prénom3 = Gihan V
| nom3 = Dias
| prenom4 = Terrance L
| nom4 = Goan
| prenom5 = L Todd
| nom5 = Heberlein
| prenom6 = Che-Lin
| nom6 = Ho
| prenom7 = Karl N
| nom7 = Levitt
| prenom8 = Biswanath
| nom8 = Mukherjee
| prenom9 = Stephen E
| nom9 = Smaha
| prenom10 = Tim
| nom10 = Grance
| prenom11 = Daniel M
| nom11 = Teal
| prenom12 = Doug
| nom12 = Mansur
| titre = DIDS (Distributed Intrusion Detection System) −− Motivation,Architecture, and An Early Prototype
| année = 1991
| périodique = In Proceedings of the 14th National Computer Security Conference
| pages = 167-176
}}

* {{article
| lang = en
| id = Survey_wireless_sensor
| prénom1 = Ismail
| nom1 = Butun
| prénom2 = Salvatore D
| nom2 = Morgera
| prénom3 = Ravi
| nom3 = Sankar
| titre = A Survey of Intrusion Detection Systems in Wireless Sensor Networks
| année = 2014
| périodique = IEEE Communications Surveys & Tutorials
| pages = 266-282
| doi = 10.1109/SURV.2013.050113.00191
}}

* {{article
| lang = en
| id = Survey_taxonomy
| prénom1 = Stefan
| nom1 = Axelsson
| titre = Intrusion Detection Systems : A Survey and Taxonomy
| périodique = Technical report
| année = 2000
}}

* {{plume}}{{article
| lang = en
| id = Survey_IDS
| prénom1 = Ansam
| nom1 = Khraisat
| prénom2 = Iqbal
| nom2 = Gondal
| prénom3 = Peter
| nom3 = Vamplew
| prenom4 = Joarder
| nom4 = Kamruzzaman
| titre = Survey of intrusion detection systems:techniques, datasets and challenges
| année = 2019
| périodique = Cybersecurity
| doi = 10.1186/s42400-019-0038-7
}}

* {{plume}}{{article
| lang = en
| id = Survey_IDS_IPS
| prénom1 = Ahmed
| nom1 = Patel
| prénom2 = Qais
| nom2 = Qassim
| prénom3 = Christopher
| nom3 = Wills
| titre = A survey of intrusion detection and prevention systems
| année = 2010
| périodique = Information Management & Computer Security, Vol. 18 No. 4
| pages = 277-290
| doi = 10.1108/09685221011079199
}}

* {{article
| lang = en
| id = Survey_IDS_2
| prénom1 = Farzad
| nom1 = Sabahi
| prénom2 = Ali
| nom2 = Movaghar
| prénom3 = Christopher
| nom3 = Wills
| titre = Intrusion Detection: A Survey
| année = 2008
| périodique = Third International Conference on Systems and Networks Communications
| pages = 23-26
| doi = 10.1109/ICSNC.2008.44
| isbn = 978-0-7695-3371-1
}}

* {{article
| lang = en
| id = Evaluating
| prénom1 = Aleksandar
| nom1 = Milenkoski
| prénom2 = Marco
| nom2 = Vieira
| prénom3 = Samuel
| nom3 = Kounev
| prenom4 = Alberto
| nom4 = Avritzer
| prenom5 = Bryan D
| nom5 = Payne
| titre = Evaluating Computer Intrusion Detection Systems: A Survey of Common Practices
| année = 2015
| périodique = ACM Computing Surveys (CSUR) Volume 48 Issue 1, Article No. 12
| doi = 10.1145/2808691
}}

* {{Plume}}{{article
| lang = en
| id = Review_IDS
| prénom1 = Hung-Jen
| nom1 = Liao
| prénom2 = Chun-Hung Richard
| nom2 = Lin
| prénom3 = Ying-Chih
| nom3 = Lin
| prénom4 = Kuang-Yuan
| nom4 = Tunga
| titre = Intrusion detection system: A comprehensive review
| année = 2012
| périodique = Journal of Network and Computer Applications
| pages = 16-24
| doi = 10.1016/j.jnca.2012.09.004
}}

* {{Plume}}{{article
| lang = en
| id = Understanding_modern_IDS
| prénom1 = Liu Hua
| nom1 = Yeo
| prénom2 = Xiangdong
| nom2 = Che
| prénom3 = Shalini
| nom3 = Lakkaraju
| titre = Understanding Modern Intrusion Detection Systems: A Survey
| année = 2017
| périodique = arXiv:1708.07174
}}

* {{article
| lang = en
| id = General_Study
| prénom1 = Aumreesh Ku
| nom1 = Saxena
| prénom2 = Dr. Sitesh
| nom2 = Sinha
| prénom3 = Dr. Piyush
| nom3 = Shukla
| titre = General Study of Intrusion Detection System and Survey of Agent Based Intrusion Detection System
| année = 2017
| périodique = International Conference on Computing, Communication and Automation
| pages = 417-421
| doi = 10.1109/CCAA.2017.8229866
}}

* {{Plume}}{{article
| lang = fr
| id = Discus
| prénom1 = Damien
| nom1 = Riquet
| titre = Discus: Une architecture de détection d’intrusions réseau distribuée basée sur un langage dédié
| périodique = these.fr
| année = 2015
}}

* {{article
| lang = fr
| id = IoT
| prénom1 = Jonathan
| nom1 = Roux
| titre = Détection d’Intrusion dans l’Internet des Objets :Problématiques de sécurité au sein des domiciles
| année = 2017
| périodique = Rendez-vous de la Recherche et de l’Enseignement de la Sécurité des Systèmesd’Information (RESSI)
}}

* {{article
| lang = en
| id = IDS_IIDPS
| prénom1 = Amol
| nom1 = Borkar
| prénom2 = Akshay
| nom2 = Donode
| prénom3 = Anjali
| nom3 = Kumari
| titre = A Survey on Intrusion Detection System (IDS) and Internal Intrusion Detection and Protection System (IIDPS)
| année = 2017
| périodique = Proceedings of the International Conference on Inventive Computing and Informatics
| pages = 949-953
| doi = 10.1109/ICICI.2017.8365277
}}

* {{Plume}}{{article
| lang = en
| id = Protection
| prénom1 = Jerry H
| nom1 = Saltzer
| titre = The Protection of Information in Computer Systems
| année = 1975
| périodique = Proc. IEEE, vol. 63, no. 9
| pages = 1278–1308
| doi = 10.1109/PROC.1975.9939
}}

* {{Plume}}{{article
| lang = en
| id = evolution_ids
| prénom1 = Paul
| nom1 = Innella
| titre = The Evolution of Intrusion Detection Systems
| année = 2001
| périodique = LLC. SecurityFocus
}}

* {{Plume}}{{article
| lang = en
| id = IDS_model
| prénom1 = Dorothy E
| nom1 = Denning
| titre = An intrusion detection model
| année = 1987
| périodique = IEEE Transactions on Software Engineering, Volume: SE-13 , Issue: 2
| pages = 222-232
| doi = 10.1109/TSE.1987.232894
}}

* {{Plume}}{{article
| lang = en
| id = HMM_model
| prénom1 = Fei
| nom1 = Wang
| prénom2 = Hongliang
| nom2 = Zhu
| prénom3 = Bin
| nom3 = Tian
| prénom4 = Yang
| nom4 = Xin
| prénom5 = Xinxin
| nom5 = Niu
| prénom6 = Yu
| nom6 = Yang
| titre = A HMM-Based Method For Anomaly Detection
| année = 2011
| périodique = 2011 4th IEEE International Conference on Broadband Network and Multimedia Technology
| pages = 276-280
| doi = 10.1109/ICBNMT.2011.6155940
| isbn = 978-1-61284-159-5
}}

* {{Plume}}{{article
| lang = en
| id = SVM_1
| prénom1 = Yanxin
| nom1 = Wang
| prénom2 = Johnny
| nom2 = Wong
| prénom3 = Andrew
| nom3 = Miner
| titre = Anomaly intrusion detection using one class SVM
| année = 2004
| périodique = Proceedings from the Fifth Annual IEEE SMC Information Assurance Workshop, 2004
| pages = 358-364
| doi = 10.1109/IAW.2004.1437839
| isbn = 0-7803-8572-1
}}

* {{Plume}}{{article
| lang = en
| id = SVM_2
| prénom1 = Ming
| nom1 = Zhang
| prénom2 = Boyi
| nom2 = Xu
| prénom3 = Jie
| nom3 = Gong
| titre = An Anomaly Detection Model based on One-class SVM to Detect Network Intrusions
| année = 2015
| périodique = 11th International Conference on Mobile Ad-hoc and Sensor Networks
| pages = 102-107
| doi = 10.1109/MSN.2015.40
| isbn = 978-1-5090-0329-7
}}

* {{Plume}}{{article
| lang = en
| id = IPS_review
| prénom1 = Bilal
| nom1 = Maqbool Beigh
| prénom2 = M.A
| nom2 = Peer
| titre = Intrusion Detection and Prevention System: Classification and Quick Review
| année = 2012
| périodique = ARPN Journal of Science and Technology
| pages = 661-675
| issn = 2225-7217
}}

* {{Plume}}{{article
| lang = en
| id = Survey_NIDS
| prénom1 = Sailesh
| nom1 = Kumar
| titre = Survey of Current Network Intrusion Detection Techniques
| année = 2007
| périodique = CSE571S: Network Security
| pages = 102-107
}}

* {{article
| lang = en
| id = Hybrid_NIDS
| prénom1 = Mostafa A
| nom1 = Salama
| prénom2 = Heba F
| nom2 = Eid
| prénom3 = Rabie A
| nom3 = Ramadan
| prenom4 = Ashraf
| nom4 = Darwish
| prenom5 = Aboul
| nom5 = Ella Hassanien
| titre = Hybrid Intelligent Intrusion Detection Scheme
| année = 2011
| périodique = Springer, Berlin, Heidelberg
| pages = 293-303
| isbn = 978-3-642-20505-7
}}

* {{Plume}}{{article
| lang = en
| id = NIDS_RBM
| prénom1 = Ugo
| nom1 = Fiore
| prénom2 = Francesco
| nom2 = Palmieri
| prénom3 = Aniello
| nom3 = Castiglione
| prenom4 = Alfredo
| nom4 = De Santis
| titre = Network Anomaly Detection with the Restricted Boltzmann Machine
| année = 2013
| périodique = Neurocomputing, volume 122
| pages = 13-23
| doi = 10.1016/j.neucom.2012.11.050
}}

* {{Plume}}{{article
| lang = en
| id = Survey_HIDS_NIDS
| prénom1 = Niva
| nom1 = Das
| prénom2 = Tanmoy
| nom2 = Sarkar
| titre = Survey on Host and Network Based Intrusion Detection System
| année = 2014
| périodique = Int. J. Advanced Networking and Applications Volume: 6 Issue: 2
| pages = 2266-2269
}}

* {{Plume}}{{article
| lang = en
| id = Intro_IDS
| prénom1 = Rebecca
| nom1 = Bace
| titre = An Introduction to Intrusion Detection & Assessment
| année = 1998
| périodique = ICSA intrusion detection systems consortium white paper
| pages = 1-38
}}

* {{Plume}}{{article
| lang = en
| id = Survey_IDS_HIDS
| prénom1 = Tarrah R
| nom1 = Glass-Vanderlan
| prénom2 = Michael D
| nom2 = Iannacone
| prénom3 = Maria S
| nom3 = Vincent
| prenom4 = Qian
| nom4 = Chen
| prenom5 = Robert
| nom5 = Bridges
| titre = A Survey of Intrusion Detection Systems Leveraging Host Data
| année = 2018
| périodique = arXiv preprint arXiv:1805.06070
| pages = 1-40
}}

* {{plume}}{{article
| lang = en
| id = Ustat
| prénom1 = Koral
| nom1 = Ilgun
| titre = USTAT: a real-time intrusion detection system for UNIX
| année = 1993
| périodique = Proceedings 1993 IEEE Computer Society Symposium on Research in Security and Privacy
| pages = 16-28
| doi = 10.1109/RISP.1993.287646
| isbn = 0-8186-3370-0
}}

* {{plume}}{{article
| lang = en
| id = Stat_tool
| prénom1 = Giovanni
| nom1 = Vigna
| prénom2 = Steve T.
| nom2 = Eckmann
| prénom3 = Richard A.
| nom3 = Kemmerer
| titre = The STAT Tool Suite
| année = 2000
| périodique = Proceedings DARPA Information Survivability Conference and Exposition. DISCEX'00
| doi = 10.1109/DISCEX.2000.821508
| isbn = 0-7695-0490-6
}}

* {{Plume}}{{article
| lang = en
| id = Real_time
| prénom1 = Anup K.
| nom1 = Ghosh
| prénom2 = Christoph
| nom2 = Michael
| prénom3 = Michael
| nom3 = Schatz
| titre = A Real-Time Intrusion Detection System Based on Learning Program Behavior
| année = 2000
| périodique = Recent Advances in Intrusion Detection
| pages = 93-109
| isbn = 978-3-540-41085-0
}}

* {{Plume}}{{article
| lang = en
| id = Darpa
| prénom1 = Richard
| nom1 = Lippmann
| prénom2 = Joshua W.
| nom2 = Haines
| prénom3 = David J.
| nom3 = Fried
| prénom4 = Jonathan
| nom4 = Korba
| prénom5 = Kumar
| nom5 = Das
| titre = The 1999 DARPA off-line intrusion detection evaluation
| année = 2000
| périodique = Computer Networks
| pages = 579-595
| isbn = 978-3-540-41085-0
}}

* {{Plume}}{{article
| lang = en
| id = Sensor_network
| prénom1 = Xiangqian
| nom1 = Chen
| prénom2 = Kia
| nom2 = Makki
| prénom3 = Kang
| nom3 = Yen
| prénom4 = Niki
| nom4 = Pissinou
| titre = Sensor Network Security: A Survey
| année = 2009
| périodique = IEEE Communications surveyx & tutorials
| pages = 52-73
| issn = 1553-877X
| doi = 10.1109/SURV.2009.090205
}}

* {{Plume}}{{article
| lang = en
| id = Iot_detection_scheme
| prénom1 = Rongrong
| nom1 = Fu
| prénom2 = Kangleng
| nom2 = Zheng
| prénom3 = Dongmei
| nom3 = Zhang
| prénom4 = Yixian
| nom4 = Yang
| titre = An Intrusion Detection Scheme Based on Anomaly Mining in Internet of Things
| année = 2011
| périodique = 4th IET International Conference on Wireless, Mobile & Multimedia Networks (ICWMMN 2011)
| pages = 315-320
| isbn = 978-1-84919-507-2
| doi = 10.1049/cp.2011.1014
}}


* {{Plume}}{{article
== Bibliographie ==
| lang = en
* Thierry Evangelista, ''Les IDS. Les Systèmes de détection d'intrusions informatiques'', Dunod/01 Informatique
| id = Iot_detection_survey
| prénom1 = Bruno Bogaz
| nom1 = Zarpelão
| prénom2 = Rodrigo Sanches
| nom2 = Miani
| prénom3 = Claudio Toshio
| nom3 = Kawakani
| prénom4 = Sean Carlisto
| nom4 = De Alvarenga
| titre = A survey of intrusion detection in Internet of Things
| année = 2017
| périodique = Journal of Network and Computer Applications
| pages = 25-37
| doi = 10.1016/j.jnca.2017.02.009
}}


* {{Plume}}{{article
== Voir aussi ==
| lang = en
| id = Trust_in_iot
| prénom1 = S.
| nom1 = Sicari
| prénom2 = A.
| nom2 = Rizzardi
| prénom3 = L.A.
| nom3 = Grieco
| prénom4 = A.
| nom4 = Coen-Porisini
| titre = Security, privacy and trust in Internet of Things: The road ahead
| année = 2015
| périodique = Computer Networks
| pages = 146-164
| doi = 10.1016/j.comnet.2014.11.008
}}


* {{Plume}}{{article
* [[Système de prévention d'intrusion]] (aussi appelé IPS)
| lang = en
* [[Systèmes de détection et de prévention d'intrusions dans les systèmes distribués]]
| id = Wids_lightweight
* [[Systèmes de détection et de prévention des intrusions pour les systèmes industriels et l'internet des objets]]
| prénom1 = Fariba
| nom1 = Haddadi
| prénom2 = Mehdi A.
| nom2 = Sarram
| titre = Wireless Intrusion Detection System Using a Lightweight Agent
| année = 2010
| périodique = Second International Conference on Computer and Network Technology
| pages = 84-87
| isbn = 978-0-7695-4042-9
| doi = 10.1109/ICCNT.2010.26
}}


* {{Plume}}{{article
=== Liens externes ===
| lang = en
| id = Novel_hybrid
| prénom1 = Gisung
| nom1 = Kim
| prénom2 = Seungmin
| nom2 = Lee
| prénom3 = Sehun
| nom3 = Kim
| titre = A novel hybrid intrusion detection method integrating anomalydetection with misuse detection
| année = 2014
| périodique = Expert Systems with Applications
| pages = 1690-1700
| doi = 10.1016/j.eswa.2013.08.066
}}


* {{fr}} [http://www-igm.univ-mlv.fr/~dr/XPOSE2001/liyun/IDS.html Cours de l'Université de Marne-la-Vallée]
* {{fr}} [http://www.donneespersonnelles.fr/ids-ips-dlp-il-faut-l-autorisation-de-la-cnil IDS, IPS, DLP : il faut l'autorisation de la CNIL] Une explication sur les obligations juridiques liées à la mise en place de systèmes de détection d'intrusion.


{{Portail|sécurité informatique}}
{{Portail|sécurité informatique}}

Version du 13 janvier 2020 à 15:30

Un système de détection d'intrusion (ou IDS : Intrusion Detection System) est un mécanisme destiné à repérer des activités anormales ou suspectes sur la cible analysée (un réseau ou un hôte). Il permet ainsi d'avoir une connaissance sur les tentatives réussies comme échouées des intrusions.

Description générale

Les systèmes de détection d’intrusion sont des outils ayant pour objectifs de détecter des activités malicieuses sur la cible qu'ils surveillent[1]. Une alerte sera déclenchée dès lors qu’un comportement malicieux est détecté. Les systèmes de détection d'intrusion sont utilisés en plus des solutions traditionnelles telles que les firewalls, pour détecter différents types d'utilisation malicieuse de leurs cible qui ne peuvent être détecter par ces dernières[2]. Pour cela, de nombreux paramètres doivent être pris en compte selon ce qu’on l’on cherche à surveiller. En effet, le système de détection d'intrusion ne se placera pas au même endroit dans l’architecture réseau. Celui-ci peut être placé en coupure du réseau, ou sur un hôte[3]. De plus, la temporalité de l’analyse est un paramètre important, celui-ci peut produire son analyse en temps réel ou à posteriori.

Les systèmes de détection d'intrusion vont se baser sur l'écriture de règles de filtrage écrites par les utilisateurs pour effectuer leurs analyses[4]. Dans le cas de Snort, les règles de filtrages seront composées des éléments suivants[5] :

  • l'action (alert, log, pass, activate, dynamic) déterminant le comportement à adopter en cas de détection d'intrusion ;
  • le protocole à filtrer ;
  • les adresses IP source et destination ;
  • les numéros de ports ;
  • la direction du trafic (->, <- ou <>), s'il est entrant, sortant ou bidirectionnelle ;
  • les options (motifs dans le paquet, drapeaux, taille, ...).

Ainsi, une simple règle déclenchant une alerte dès qu'un paquet TCP est reçu par l'adresse 10.1.1.0/24 sur le port 80 s'écrira comme suit[5] : 

alert tcp any any -> 10.1.1.0/24 80

Méthodologie de détection

Les systèmes de détection d'intrusion sont généralement classifiés en deux catégories, les systèmes de détection d'intrusion par signatures et les systèmes de détection d'intrusion par anomalies[1].

Systèmes de détection d'intrusion par signatures

Les systèmes de détection d'intrusion par signature (ou SIDS : Signature-based Intrusion Detection System), reposent sur des bibliothèques de description des attaques (appelées signatures)[6]. Au cours de l’analyse du flux réseau, le système de détection d'intrusion analysera chaque paquet et une alerte sera émise dès lors qu’une signature sera detectée[7]. Cette signature peut référencer un seul paquet, ou un ensemble (dans le cas d'une attaque par déni de service par exemple). Cette méthodologie de détection se révèle être efficace uniquement si la base de signatures est maintenue à jour de manière régulière[7],[8]. Dans ce cas, la détection par signatures produit peu de faux-positifs[7],[8],[9]. Cependant, une bonne connaissance des différentes attaques est nécessaire pour les décrire dans la base de signature[8]. Dans le cas d'attaques inconnues de la base, ce modèle de détection s'avérera inefficace et ne générera donc pas d’alertes[10]. La base de signature est donc très dépendante de l’environnement (système d’exploitation, version, applications déployées, …)[8].

Plusieurs implémentations existent pour effectuer une détection par signature, parmi celles-ci, nous pouvons trouver :

  • Les arbres de décision, les règles de filtrage sont représentées sous forme d'arbre de décisions où chaque feuille de l'arbre correspondra à une règle[11].
  • Les système de transition d'états, les intrusions sont décrites comme des scénarios, représentés eux-mêmes comme une séquence de transitions qui caractérisent l'évolution des états du système[12],[13].

Systèmes de détection d'intrusion par anomalies

Contrairement aux SIDS, les systèmes de détection d'intrusion par anomalies (ou AIDS : Anomaly-based Intrusion Detection System) ne se reposent pas sur des bibliothèques de description des attaques. Ils vont se charger de détecter des comportements anormaux lors de l'analyse du flux réseau. Pour cela, le système va reposer sur deux phases:

  • Une phase d'apprentissage, au cours de laquelle ce dernier va étudier des comportements normaux de flux réseau.
  • Une phase de détection, le système analyse le trafic et va chercher à identifier les événements anormaux en se basant sur ses connaissances.

Cette méthode de détection repose sur de nombreuses techniques d'apprentissage supervisé, telles que :


À l'heure actuelle, cette technique de détection d'intrusion est reconnue par la communauté comme étant très efficace. En effet, selon les méthodes d'apprentissage implémentées, l'exactitude des résultats peut rapidement atteindre plus de 90% de détection[18],[19],[20].

Hybride

Cette méthodologie de détection consiste à reposer à la fois sur un système de détection par signatures et sur un système de détection par anomalies. Pour cela, les deux modules de détection, en plus de déclencher des alertes si une intrusion est détectée, peuvent communiquer leurs résultats d'analyse à un système de décision qui pourra lui-même déclencher des alertes grâce à la corrélation des résultats remontés par les deux modules[21].

L'avantage de cette méthodologie de détection est la combinaison du faible taux de faux-positifs générés par les systèmes de détection d'intrusion par signature, tout en possédant la capacité de détecter des attaques inconnues dans la base de signature grâce à la détection par anomalie[22].

Temporalité de détection

Il existe deux types de temporalité dans les systèmes de détection d'intrusion. La détection en temps réel (système temps réel), et la détection post-mortem (analyse forensique). Le plus souvent, l'objectif est de remonter les alertes d'intrusion le plus rapidement possible à l'administrateur système. La détection en temps réel sera donc privilégiée. Cette temporalité de détection présente des défis de conception pour s'assurer que le système puisse analyser le flux de données aussi rapidement qu'il est généré[23]. Cependant, il est aussi envisageable d'utiliser un système de détection d'intrusion dans le cadre d'analyse post-mortem. Dans ce cas, ce dernier permettra de comprendre le mécanisme d'attaque pour aider à réparer les dommages subis et réduire le risque qu'une attaque du même genre se reproduise[24].

Familles de systèmes de détection d’intrusion

En fonction des données qu'ils traiteront, les systèmes de détection d'intrusion peuvent être considérés comme ou étant des systèmes de détection d'intrusion hôtes (analysant les événements au niveau du système d'exploitation), ou réseaux (analysant les événements propres au trafic réseau)[9].

Positionnement d'un IDS selon sa famille

Systèmes de détection d'instrusion réseaux

Fig 1 : Placement d'un NIDS en amont d'un Pare Feu
Fig 2 : Placement d'un NIDS en aval d'un Pare Feu

Les systèmes de détection d'intrusion réseaux (ou NIDS : Network Intrusion Detection System) sont les IDS les plus répandues[25]. Ce sont des outils très utiles pour l'administrateur réseaux qui va pouvoir, en temps réel, comprendre ce qui se passe sur son réseau et prendre des décisions en ayant toutes les informations [26].

Ils peuvent être placés à divers endroits sur le réseau, en amont ou en aval d'un pare feu ou encore sur chaque machine, comme un anti virus. Ces IDS vont analyser tout le trafic entrant et sortant du réseau afin d'y déceler des attaques. Cependant, un NIDS placé sur chaque machine ne saura pas détecter toutes les attaques possibles comme les attaques par déni de service (DDoS) car il ne verra pas tout le trafic réseau, mais que celui qui arrive à la machine finale [27].

Quand un NIDS est positionné en amont d'un pare feu (Fig 1), il pourra alors générer des alertes pour le pare feu qui va pouvoir filtrer le réseau[28]. Placé en aval du pare feu (Fig 2), le NIDS produira moins de faux positifs, car le trafic réseau qu'il analysera aura déjà été filtré par le pare feu[28].

Avec l'arrivée du Cloud computing, le positionnement des sondes dans le réseau devient stratégique. En effet, n'importe qui peut louer une machine chez un hébergeur et attaquer une autre machine louée par quelqu'un d'autre chez le même hébergeur. On parlera alors d'attaque interne. Dans ce type d'attaque, les solutions disposées en bordure du réseau ne détecteront pas ces attaques, il est donc nécessaire de disséminer plusieurs NIDS au sein de l'infrastructure Cloud afin de les détecter.[29]

Dès qu'une attaque est détectée, que ce soit par signature (SIDS) ou anomalies (AIDS), une alerte est remonté afin de pouvoir prendre une décision sur l'action à effectuer, soit par un IPS (Système de prévention d'intrusion), soit par l'administrateur.

Les NIDS peuvent être complétés par d'autre technologie comme l'apprentissage automatique, qui va venir se greffer à un NIDS qui procède par AIDS, appelé ADNIDS (Anomaly Detection base NIDS). Différentes techniques de deep learning ont déjà été appliqué aux problèmes des ADNIDS, comme les réseaux de neurones artificiels ou encore les machines à vecteurs de support par exemple. L'ajout de ces techniques au IDS réseaux permettent de détecter plus d'attaques inconnues, contre lesquelles un NIDS classique fonctionnant avec un SIDS ne pourrait pas détecter. Il est envisagé que le deep learning va participer à surmonter les défis liés au développement d'un NIDS efficace[30],[31].

Systèmes de détection d'intrusion hôtes

Les systèmes de détection d'intrusion hôte (ou HIDS : Host-based Intrusion Detection System) sont des IDS mis en place directement sur les machines à surveiller. Ils vont directement analyser les fichiers de la machine, les différents appels système et aussi les événements réseaux[32],[33]. Par conséquent ces analyses sont strictement limitées à la machine sur laquelle l'HIDS est installée et n'ont aucune vue sur le réseau[34].

Les HIDS agissent comme des antivirus mais en plus poussé, car les antivirus ne sont intéressés que par les activités malveillante du poste alors qu'un HIDS va pouvoir intervenir s'il détecte des attaques par dépassement de tampon et concernant les processus système par exemple[32].

La fonction de base d'un HIDS est l'inspection des fichiers de configuration du système afin d'y déceler des anomalies[35] contre les rootkit notamment. Et utilisent des sommes de contrôle (MD5, SHA-1…) des programmes exécutables pour s'assurer qu'ils n'ont pas été modifiés.

Étant donné que les HIDS sont installés directement sur les machines, quelqu'un de malveillant qui aurait réussi à prendre le contrôle de la machine pourrait sans mal désactiver l'HIDS[36].

Systèmes de détection d'intrusion collaboratif

Approche centralisée d'un CIDS
Approche hiérarchique d'un CIDS
Approche distribuée d'un CIDS

Les systèmes de détection d'intrusion collaboratif (ou CIDS : Collaborative Intrusion Detection System) sont des systèmes reposant sur d'autres IDS, de ce fait le CIDS peut opérer sur des systèmes hétérogène. Il existe trois façons de mettre en place un CIDS, l'approche centralisée, l'approche hiérarchique et l'approche distribuée.

L'approche centralisée se compose de deux éléments, le système expert et les IDS (HIDS ou NIDS). Les IDS vont pouvoir détecter, sur leur réseau local ou sur leur hôte, des anomalies qu'ils enverront au système expert. Il va permettre de déterminer s'il s'agit d'une attaque globale contre les différents systèmes ou plus local, s'il n'a reçu qu'une seule alerte par exemple. Les CIDS déployé sur cette approche ont un très bon taux de détection. Mais ils ont deux désavantages majeurs, le premier est que le système expert tombe en panne, tout le système est inutilisable, il s'agit d'un point de défaillance unique (single-point of failure en anglais, ou SPOF)[37],[38]. Le deuxième inconvénient de cette approche est qu'en cas de grosse attaque, il est possible que certaines des alertes reçues soient ignorées en raison de la quantité reçue par le système expert, ou que ces alertes soient traitées plus tard et donc, possiblement, après l'attaque[39],[38]. Cette approche a été mise en place pour DIDS (Distributed Intrusion Detection System) par Snapp[40].

L'approche hiérarchique, va permettre d'éviter le point de défaillance unique, mis en lumière par l'approche centralisée. En effet, dans cette solution, plusieurs nœuds sont chargés de la corrélation des alertes. Un nœud est désigné dans chaque groupe afin qu'il agisse en tant que nœud de corrélation et d'alerte, il va donc analyser les alertes qui viennent de son groupe, les corréler et transmettre une alerte, si besoin, au nœud supérieur. Cette fois-ci si un nœud intermédiaire vient à être désactivé, toute la sous-branche sera inutilisable[41],[42].

La dernière approche, permet d'éviter d'avoir des points de défaillance, qui pourrait mettre à mal tout le système de détection. Pour cela, chaque nœud est collecteur d'information ainsi qu'analyseur. Ces nœuds détectent localement les attaques et sont capables de corréler les informations des nœuds voisins pour détecter les attaques globales[43],[44].

Autres

Il existe également d'autres familles de systèmes de détection d'intrusion. Parmi celles-ci, nous pouvons retrouver les familles suivantes :

  • WIDS (Wireless Intrusion Detection System) : ce type de système de détection d'intrusion permet de détecter et d'avertir sur les attaques spécifiques aux réseaux sans-fil (découverte de réseau, attaque de l'homme du milieu, attaque par déni de service, ...)[45].
  • APHIDS (Agent-Based Programmable Hybrid Intrusion Detection System) : ce type de système de détection d'intrusion se base sur des agents autonomes réactifs, capables de communiquer avec d'autres systèmes[46], ou de se déplacer d'hôte en hôte (on parle alors d'agents mobiles), permettant ainsi de réduire l'impact réseau du système de détection d'intrusion pour sa collecte de données[47].
  • HAMA-IDS (Hybrid Approach-based Mobile Agent Intrusion Detection System), une méthode de détection basée sur des agents mobiles, possédant à la fois une base de signature d'intrusion (SIDS), et une base contenant des informations sur le système recueilli à l'aide de statistiques (peut être assimilé à un AIDS)[48].

Exemples de systèmes de détection d’intrusion

Systèmes de détection d'instrusion réseaux

Systèmes de détection d'instrusion hôtes

Hybrides

Domaines d’application

Systèmes distribués

Article principal : Systèmes de détection et de prévention d'intrusions dans les systèmes distribués.

Les systèmes de détection et de prévention d'intrusions dans les systèmes distribués permettent de repérer et d’empêcher l'intrusion d'un utilisateur malveillant dans un système distribué comme une grille informatique ou un réseau en nuage.

Internet des objets

Article principal : Systèmes de détection et prévention d'intrusion pour les réseaux de capteurs sans fil.

Avec la constante augmentation des réseaux de capteurs, leur nombre devrait approcher les 26 milliards en 2020[49], l'internet des objets représente de nombreux enjeux de sécurité, notamment dûs à leur faible puissance de calcul, leur hétérogénéité, le nombre de capteurs dans le réseau ainsi que la topologie du réseau du réseau[50],[51]. De ce fait, les systèmes de détection d'intrusion traditionnels ne peuvent pas directement être appliqués aux réseaux de capteurs.[52]. Néanmoins, de nombreuses avancées ont été présentées au cours des années 2000-2010 pour palier à cette problématique[53].

Systèmes de prévention d'intrusion

Article détaillé : Système de prévention d'intrusion.

Principe

Contrairement aux systèmes de détection d'intrusion qui se contentent d'analyser des données pour émettre des alertes, les systèmes de prévention d’intrusions sont des outils permettant de détecter une attaque sur le système monitoré et de mettre en place des mécanismes de défense permettant de mitiger l’attaque[54]. Pour cela, différentes contre-mesures peuvent être mises en place telles que :

  • Re-configurer des équipements réseaux (routeurs, pare-feux, ...) pour bloquer les futures attaques[55]
  • Filtrer le trafic réseau en supprimant les paquets malicieux[55]

Les familles de systèmes de prévention d’intrusion

Tout comme les systèmes de détection d'intrusion, il existe deux grandes familles de systèmes de prévention d'intrusion[56],[57] :

  • Les IPS réseau (ou NIPS : Network-based Intrusion Prevention Systems), capables de stopper certaines attaques rapidement et de se protéger des dommages critiques sur un réseau[58]
  • Les IPS hôtes (ou HIPS : Host-based Intrusion Prevention Systems), capables de bloquer l'accès aux ressources systèmes selon des règles définies par l'administrateur ou par des réponses apprises automatiquement par le système de prévention d'intrusion[59]. Ce type de système de prévention d'intrusion permet de protéger des serveurs de différentes vulnérabilités[57].


L’histoire des IDS

Avant l’invention des IDS, la détection d’intrusion se faisait à la main, car toutes les traces devaient être imprimées afin que les administrateurs puissent y déceler des anomalies. C’est une activité très chronophage et pas très efficaces, car utilisé après les attaques afin de déterminer les dommages et de retrouver comment les assaillants s’y sont pris pour entrer dans le système.

À la fin des années 70, débuts des années 80, le stockage de données en ligne est de moins en moins couteux, les traces sont migrées sur des serveurs et en parallèle de cette migration de données, du format papier au format numérique, des chercheurs développent les premiers programmes d’analyse de traces[60], mais cela reste inefficace car ces programmes sont lents et fonctionnent la nuit lorsque la charge sur le système est faible [61], donc les attaques sont le plus souvent détectées après coup.
En 1980, James Anderson, chercheur à la NSA, introduit le concept d’IDS [62],[63], mais c’est en 1987 quand Dorothy Denning publie les premiers modèles de détection[64] que les IDS vont réellement se développer.

Au début des années 90, apparaissent les premiers programmes d’analyse en temps réel, qui permet d’analyser les traces dès qu’elles sont produites. Cela permet de détecter les attaques plus efficacement, cela a rendues possible dans certains cas de faire de la prévention d’attaque.

Avant l'apparition d'outils de piratage, les attaques perpétrées envers des sites web, étaient menées par des personnes expérimentées[65]. La figure suivante représente les connaissances des attaquants en fonction du temps, on constate donc qu'aujourd'hui, n'importe qui peut attaquer des sites Web sans connaissances préalables[65], notamment grâce à ces outils, qui ont été développés dans ce but.

Évolution des connaissances des attaquants en fonction du temps

Entre 2006 et 2010, le nombre d'attaques est passé d'environ 5000 à plus de 35000[66], d'où le besoin d'avoir des IDS performants.

Depuis quelques années, les avancées produite en matières d’IDS est de permettre à l’utilisateur de le déployer dans un large réseau tout en garantissant une sécurité effective à l’heure du changement perpétuel de l’environnement informatique et l’innombrable nouvelles attaques dévoilées chaque jour.

Références

  1. ↑ a et b Kruegel 2003, p. 173
  2. ↑ Khraisat 2019, p. 3
  3. ↑ Depren 2005, p. 1
  4. ↑ Kumar 2012, p. 36
  5. ↑ a et b Roesch 1999, p. 232
  6. ↑ Kemmerer 2002, p. 28
  7. ↑ a b et c Yeo 2017, p. 3
  8. ↑ a b c et d Kumar 2012, p. 35
  9. ↑ a et b Kruegel 2003, p. 174
  10. ↑ Liao 2012, p. 17
  11. ↑ Kruegel 2003, p. 178
  12. ↑ Ilgun 1993, p. 18
  13. ↑ Vigna 2000, p. 2
  14. ↑ Debar 1992, p. 244
  15. ↑ Wang 2011, p. 277
  16. ↑ Wang 2004, p. 358
  17. ↑ Zhang 2015, p. 103
  18. ↑ Wang 2011, p. 279
  19. ↑ Wang 2004, p. 363
  20. ↑ Zhang 2015, p. 106
  21. ↑ Depren 2005, p. 714
  22. ↑ Kim 2014, p. 1693
  23. ↑ Ghosh 2000, p. 106
  24. ↑ Lippmann 2000, p. 579
  25. ↑ Kumar 2007, p. 1
  26. ↑ Niyaz 2016, p. 1
  27. ↑ Kumar 2007, p. 5
  28. ↑ a et b Kumar 2007, p. 4
  29. ↑ Riquet 2015, p. 40
  30. ↑ Djemaa 2011, p. 303
  31. ↑ Fiore 2013, p. 22
  32. ↑ a et b Das 2014, p. 2266
  33. ↑ Riquet 2015, p. 13
  34. ↑ Bace 1998, p. 1
  35. ↑ Bace 1998, p. 12
  36. ↑ Glass-Vanderlan 2018, p. 3
  37. ↑ Riquet 2015, p. 18
  38. ↑ a et b Zhou 2010, p. 129
  39. ↑ Riquet 2015, p. 19
  40. ↑ Snapp 1991, p. 1
  41. ↑ Riquet 2015, p. 21
  42. ↑ Zhou 2010, p. 130
  43. ↑ Riquet 2015, p. 22
  44. ↑ Zhou 2010, p. 131
  45. ↑ Haddadi 2010, p. 85
  46. ↑ Djemaa 2012, p. 1
  47. ↑ Onashoga 2009, p. 670
  48. ↑ Djemaa 2012, p. 3
  49. ↑ Zarpelao 2017, p. 25
  50. ↑ Chen 2009, p. 52
  51. ↑ Fu 2011, p. 315
  52. ↑ Sicari 2015, p. 146
  53. ↑ Zarpelao 2017, p. 27
  54. ↑ Beigh 2012, p. 667
  55. ↑ a et b Patel 2010, p. 279
  56. ↑ Zhang 2004, p. 387
  57. ↑ a et b Stiennon 2002, p. 1
  58. ↑ Shin 2009, p. 5
  59. ↑ Stiennon 2002, p. 4
  60. ↑ Saltzer 1975, p. 1279
  61. ↑ Kemmerer 2002, p. 27
  62. ↑ Djemaa 2012, p. 1
  63. ↑ Innella 2001, p. 1
  64. ↑ Denning 1987, p. 222
  65. ↑ a et b McHugh 2000, p. 43
  66. ↑ Ashoor 2011, p. 4

Bibliographie

Document utilisé pour la rédaction de l’article : document utilisé comme source pour la rédaction de cet article.

  • Document utilisé pour la rédaction de l’article(en) Martin Roesch, « Snort – Lightweight IntrusionDetection for Networks », Proceedings of LISA '99: 13th Systems Administration Conference,‎ , p. 229-238
  • (en) Dong Seong Kim, Ha-Nam Nguyen et Jong Sou Park, « Genetic Algorithm to Improve SVM Based Network Intrusion Detection System », Proceedings of the 19th International Conference on Advanced Information Networking and Applications (AINA’05),‎ , p. 155-158 (ISBN 0-7695-2249-1, DOI 10.1109/AINA.2005.4)
  • Document utilisé pour la rédaction de l’article(en) Quamar Niyaz, Weiqing Sun, Ahmad Y Javaid et Mansoor Alam, « A Deep Learning Approach for Network Intrusion Detection System », IEEE Transactions on Emerging Topics in Computational Intelligence,‎ , p. 41 - 50 (ISSN 2471-285X, DOI 10.1109/TETCI.2017.2772792)
  • Document utilisé pour la rédaction de l’article(en) Saidat Adebukola Onashoga, Adebayo D. Akinde et Adesina Simon Sodiya, « A Strategic Review of Existing Mobile Agent-Based Intrusion Detection Systems », Issue s in Informing Science and Information Technology,‎ , p. 669 - 682 (ISSN 1547-5867)
  • Document utilisé pour la rédaction de l’article(en) Christopher Kruegel et Thomas Toth, « Using Decision Trees to Improve Signature-Based Intrusion Detection », 6th International Symposium, RAID 2003,‎ , p. 173–191 (ISBN 3-540-40878-9)
  • Document utilisé pour la rédaction de l’article(en) Vinod Kumar et Om Prakash Sangwan, « Signature Based Intrusion Detection System Using SNORT », International Journal ofComputer Applications & Information Technology,‎ , p. 35-41 (ISSN 2278-7720)
  • Document utilisé pour la rédaction de l’article(en) John McHugh, Alan Christie et Allen, « Defending yourself: The Role of Intrusion Detection System », IEEE Software, Volume: 17 , Issue: 5,‎ , p. 42-51 (ISSN 1937-4194, DOI 10.1109/52.877859)
  • Document utilisé pour la rédaction de l’article(en) Asmaa Shaker Ashoor et Sharad Gore, « Importance of Intrusion Detection System (IDS) », International Journal of Scientific and Engineering Research, 2011, vol. 2, no 1,‎ , p. 1-7
  • (en) Christina Warrender, Stephanie Forrest et Barak Pearlmutter, « Detecting Intrusions Using System Calls:Alternative Data Models », International Journal ofComputer Applications & Information Technology,‎ , p. 133-145 (ISBN 0-7695-0176-1, ISSN 1081-6011, DOI 10.1109/SECPRI.1999.766910)
  • Document utilisé pour la rédaction de l’article(en) R. Stiennon et M. Easley, « Intrusion Prevention Will Replace Intrusion Detection », Technology, T17-0115,‎ , p. 1-5
  • Document utilisé pour la rédaction de l’article(en) Hervé Debar, Monique Becker et Didier Siboni, « A Neural Network Component for an Intrusion Detection System », Proceedings 1992 IEEE Computer Society Symposium on Research in Security and Privacy,‎ , p. 240-250 (ISBN 0-8186-2825-1, DOI 10.1109/RISP.1992.213257)
  • (en) David Wagner et Paolo Soto, « Mimicry Attacks on Host-Based Intrusion Detection Systems », CCS '02 Proceedings of the 9th ACM conference on Computer and communications security,‎ , p. 255-264 (ISBN 1-58113-612-9, DOI 10.1145/586110.586145)
  • Document utilisé pour la rédaction de l’article(en) Chenfeng Vincent Zhou, Lecki et Karunasekera, « A survey of coordinated attacks and collaborative intrusion detection », Computers & Security, Volume 29, Issue 1,‎ , p. 129-140 (DOI 10.1016/j.cose.2009.06.008)
  • Document utilisé pour la rédaction de l’article(en) Ozgur Depren, Murat Topallar, Emin Anarim et M. Kemal Ciliz, « An intelligent intrusion detection system (IDS) for anomalyand misuse detection in computer networks », Expert Systems with Applications,‎ , p. 713-722 (ISSN 0957-4174, DOI 10.1016/j.eswa.2005.05.002)
  • (en) Ken Deeter, Kapil Singh, Steve Wilson, Luca Filipozzi et Son Vuong, « APHIDS: A Mobile Agent-Based Programmable Hybrid Intrusion Detection System », Mobility AwareTechnologies and Applications,‎ , p. 244-253 (ISBN 3-540-23423-3, ISSN 0302-9743)
  • (en) Guoning Hu, Deepak Venugopal et Shantanu Bhardwaj, « Wireless intrusion prevention system and method », United States Patent,‎ , p. 1-10
  • Document utilisé pour la rédaction de l’article(en) Seung Won Shin, Jintaz Oh, Ki young Kim, Jong Soo Jang et Sung Won Sohn, « Network intrusion detection and prevention system and method thereof », United States Patent,‎ , p. 1-10
  • (en) Gary Manuel Jackson, « Intrusion prevention system », United States Patent,‎
  • Document utilisé pour la rédaction de l’article(en) Xinyou Zhang, Chengzhong Li et Wenbin Zheng, « Intrusion Prevention System Design », The Fourth International Conference onComputer and Information Technology,‎ , p. 386-390 (ISBN 0-7695-2216-5, DOI 10.1109/CIT.2004.1357226)
  • Document utilisé pour la rédaction de l’article(en) Steven R Snapp, James Brentano, Gihan V Dias, Goan, Heberlein, Ho, Levitt, Mukherjee, Smaha, Grance, Teal et Mansur, « DIDS (Distributed Intrusion Detection System) −− Motivation,Architecture, and An Early Prototype », In Proceedings of the 14th National Computer Security Conference,‎ , p. 167-176
  • (en) Ismail Butun, Salvatore D Morgera et Ravi Sankar, « A Survey of Intrusion Detection Systems in Wireless Sensor Networks », IEEE Communications Surveys & Tutorials,‎ , p. 266-282 (DOI 10.1109/SURV.2013.050113.00191)
  • (en) Stefan Axelsson, « Intrusion Detection Systems : A Survey and Taxonomy », Technical report,‎
  • Document utilisé pour la rédaction de l’article(en) Ansam Khraisat, Iqbal Gondal, Peter Vamplew et Kamruzzaman, « Survey of intrusion detection systems:techniques, datasets and challenges », Cybersecurity,‎ (DOI 10.1186/s42400-019-0038-7)
  • Document utilisé pour la rédaction de l’article(en) Ahmed Patel, Qais Qassim et Christopher Wills, « A survey of intrusion detection and prevention systems », Information Management & Computer Security, Vol. 18 No. 4,‎ , p. 277-290 (DOI 10.1108/09685221011079199)
  • (en) Farzad Sabahi, Ali Movaghar et Christopher Wills, « Intrusion Detection: A Survey », Third International Conference on Systems and Networks Communications,‎ , p. 23-26 (ISBN 978-0-7695-3371-1, DOI 10.1109/ICSNC.2008.44)
  • (en) Aleksandar Milenkoski, Marco Vieira, Samuel Kounev, Avritzer et Payne, « Evaluating Computer Intrusion Detection Systems: A Survey of Common Practices », ACM Computing Surveys (CSUR) Volume 48 Issue 1, Article No. 12,‎ (DOI 10.1145/2808691)
  • Document utilisé pour la rédaction de l’article(en) Hung-Jen Liao, Chun-Hung Richard Lin, Ying-Chih Lin et Kuang-Yuan Tunga, « Intrusion detection system: A comprehensive review », Journal of Network and Computer Applications,‎ , p. 16-24 (DOI 10.1016/j.jnca.2012.09.004)
  • Document utilisé pour la rédaction de l’article(en) Liu Hua Yeo, Xiangdong Che et Shalini Lakkaraju, « Understanding Modern Intrusion Detection Systems: A Survey », arXiv:1708.07174,‎
  • (en) Aumreesh Ku Saxena, Dr. Sitesh Sinha et Dr. Piyush Shukla, « General Study of Intrusion Detection System and Survey of Agent Based Intrusion Detection System », International Conference on Computing, Communication and Automation,‎ , p. 417-421 (DOI 10.1109/CCAA.2017.8229866)
  • Document utilisé pour la rédaction de l’articleDamien Riquet, « Discus: Une architecture de détection d’intrusions réseau distribuée basée sur un langage dédié », these.fr,‎
  • Jonathan Roux, « Détection d’Intrusion dans l’Internet des Objets :Problématiques de sécurité au sein des domiciles », Rendez-vous de la Recherche et de l’Enseignement de la Sécurité des Systèmesd’Information (RESSI),‎
  • (en) Amol Borkar, Akshay Donode et Anjali Kumari, « A Survey on Intrusion Detection System (IDS) and Internal Intrusion Detection and Protection System (IIDPS) », Proceedings of the International Conference on Inventive Computing and Informatics,‎ , p. 949-953 (DOI 10.1109/ICICI.2017.8365277)
  • Document utilisé pour la rédaction de l’article(en) Jerry H Saltzer, « The Protection of Information in Computer Systems », Proc. IEEE, vol. 63, no. 9,‎ , p. 1278–1308 (DOI 10.1109/PROC.1975.9939)
  • Document utilisé pour la rédaction de l’article(en) Paul Innella, « The Evolution of Intrusion Detection Systems », LLC. SecurityFocus,‎
  • Document utilisé pour la rédaction de l’article(en) Dorothy E Denning, « An intrusion detection model », IEEE Transactions on Software Engineering, Volume: SE-13 , Issue: 2,‎ , p. 222-232 (DOI 10.1109/TSE.1987.232894)
  • Document utilisé pour la rédaction de l’article(en) Fei Wang, Hongliang Zhu, Bin Tian, Yang Xin, Xinxin Niu et Yu Yang, « A HMM-Based Method For Anomaly Detection », 2011 4th IEEE International Conference on Broadband Network and Multimedia Technology,‎ , p. 276-280 (ISBN 978-1-61284-159-5, DOI 10.1109/ICBNMT.2011.6155940)
  • Document utilisé pour la rédaction de l’article(en) Yanxin Wang, Johnny Wong et Andrew Miner, « Anomaly intrusion detection using one class SVM », Proceedings from the Fifth Annual IEEE SMC Information Assurance Workshop, 2004,‎ , p. 358-364 (ISBN 0-7803-8572-1, DOI 10.1109/IAW.2004.1437839)
  • Document utilisé pour la rédaction de l’article(en) Ming Zhang, Boyi Xu et Jie Gong, « An Anomaly Detection Model based on One-class SVM to Detect Network Intrusions », 11th International Conference on Mobile Ad-hoc and Sensor Networks,‎ , p. 102-107 (ISBN 978-1-5090-0329-7, DOI 10.1109/MSN.2015.40)
  • Document utilisé pour la rédaction de l’article(en) Bilal Maqbool Beigh et M.A Peer, « Intrusion Detection and Prevention System: Classification and Quick Review », ARPN Journal of Science and Technology,‎ , p. 661-675 (ISSN 2225-7217)
  • Document utilisé pour la rédaction de l’article(en) Sailesh Kumar, « Survey of Current Network Intrusion Detection Techniques », CSE571S: Network Security,‎ , p. 102-107
  • (en) Mostafa A Salama, Heba F Eid, Rabie A Ramadan, Darwish et Ella Hassanien, « Hybrid Intelligent Intrusion Detection Scheme », Springer, Berlin, Heidelberg,‎ , p. 293-303 (ISBN 978-3-642-20505-7)
  • Document utilisé pour la rédaction de l’article(en) Ugo Fiore, Francesco Palmieri, Aniello Castiglione et De Santis, « Network Anomaly Detection with the Restricted Boltzmann Machine », Neurocomputing, volume 122,‎ , p. 13-23 (DOI 10.1016/j.neucom.2012.11.050)
  • Document utilisé pour la rédaction de l’article(en) Niva Das et Tanmoy Sarkar, « Survey on Host and Network Based Intrusion Detection System », Int. J. Advanced Networking and Applications Volume: 6 Issue: 2,‎ , p. 2266-2269
  • Document utilisé pour la rédaction de l’article(en) Rebecca Bace, « An Introduction to Intrusion Detection & Assessment », ICSA intrusion detection systems consortium white paper,‎ , p. 1-38
  • Document utilisé pour la rédaction de l’article(en) Tarrah R Glass-Vanderlan, Michael D Iannacone, Maria S Vincent, Chen et Bridges, « A Survey of Intrusion Detection Systems Leveraging Host Data », arXiv preprint arXiv:1805.06070,‎ , p. 1-40
  • Document utilisé pour la rédaction de l’article(en) Koral Ilgun, « USTAT: a real-time intrusion detection system for UNIX », Proceedings 1993 IEEE Computer Society Symposium on Research in Security and Privacy,‎ , p. 16-28 (ISBN 0-8186-3370-0, DOI 10.1109/RISP.1993.287646)
  • Document utilisé pour la rédaction de l’article(en) Giovanni Vigna, Steve T. Eckmann et Richard A. Kemmerer, « The STAT Tool Suite », Proceedings DARPA Information Survivability Conference and Exposition. DISCEX'00,‎ (ISBN 0-7695-0490-6, DOI 10.1109/DISCEX.2000.821508)
  • Document utilisé pour la rédaction de l’article(en) Anup K. Ghosh, Christoph Michael et Michael Schatz, « A Real-Time Intrusion Detection System Based on Learning Program Behavior », Recent Advances in Intrusion Detection,‎ , p. 93-109 (ISBN 978-3-540-41085-0)
  • Document utilisé pour la rédaction de l’article(en) Richard Lippmann, Joshua W. Haines, David J. Fried, Jonathan Korba et Kumar Das, « The 1999 DARPA off-line intrusion detection evaluation », Computer Networks,‎ , p. 579-595 (ISBN 978-3-540-41085-0)
  • Document utilisé pour la rédaction de l’article(en) Xiangqian Chen, Kia Makki, Kang Yen et Niki Pissinou, « Sensor Network Security: A Survey », IEEE Communications surveyx & tutorials,‎ , p. 52-73 (ISSN 1553-877X, DOI 10.1109/SURV.2009.090205)
  • Document utilisé pour la rédaction de l’article(en) Rongrong Fu, Kangleng Zheng, Dongmei Zhang et Yixian Yang, « An Intrusion Detection Scheme Based on Anomaly Mining in Internet of Things », 4th IET International Conference on Wireless, Mobile & Multimedia Networks (ICWMMN 2011),‎ , p. 315-320 (ISBN 978-1-84919-507-2, DOI 10.1049/cp.2011.1014)
  • Document utilisé pour la rédaction de l’article(en) Bruno Bogaz Zarpelão, Rodrigo Sanches Miani, Claudio Toshio Kawakani et Sean Carlisto De Alvarenga, « A survey of intrusion detection in Internet of Things », Journal of Network and Computer Applications,‎ , p. 25-37 (DOI 10.1016/j.jnca.2017.02.009)
  • Document utilisé pour la rédaction de l’article(en) S. Sicari, A. Rizzardi, L.A. Grieco et A. Coen-Porisini, « Security, privacy and trust in Internet of Things: The road ahead », Computer Networks,‎ , p. 146-164 (DOI 10.1016/j.comnet.2014.11.008)
  • Document utilisé pour la rédaction de l’article(en) Fariba Haddadi et Mehdi A. Sarram, « Wireless Intrusion Detection System Using a Lightweight Agent », Second International Conference on Computer and Network Technology,‎ , p. 84-87 (ISBN 978-0-7695-4042-9, DOI 10.1109/ICCNT.2010.26)
  • Document utilisé pour la rédaction de l’article(en) Gisung Kim, Seungmin Lee et Sehun Kim, « A novel hybrid intrusion detection method integrating anomalydetection with misuse detection », Expert Systems with Applications,‎ , p. 1690-1700 (DOI 10.1016/j.eswa.2013.08.066)


Ce document provient de « https://fr.wikipedia.org/w/index.php?title=Système_de_détection_d%27intrusion&oldid=166322522 ».