CONSEILS EN MATIÈRE DE SÉCURITÉ POUR LES PRODUITS COMMERCIAUX (CSPC) SYSTÈME DE PRÉVENTION D INTRUSIONS (IPS)

Transcription

1 CONSEILS EN MATIÈRE DE SÉCURITÉ POUR LES PRODUITS COMMERCIAUX (CSPC) SYSTÈME DE PRÉVENTION D INTRUSIONS (IPS) CSG-09\G Août

2 Page intentionnellement laissée en blanc. 2009

3 Avant-propos Le document Système de prévention d intrusions (CSG-09\G) est NON CLASSIFIÉ et publié avec l autorisation du chef du Centre de la sécurité des télécommunications Canada (CSTC). Les propositions de modification devraient être envoyées par les voies de communication sécurisées du ministère concerné au représentant des Services à la clientèle du CSTC. Pour de plus amples renseignements, prière de communiquer avec les Services à la clientèle de la Sécurité des TI du CSTC, par courriel à l adresse itsclientservices@csecst.gc.ca, ou par téléphone au Date d entrée en vigueur La présente publication entre en vigueur le 28 août Carey Frey Directeur, Programme avec l industrie de la Sécurité des TI Gouvernement du Canada, Centre de la sécurité des télécommunications Canada 2009 Il est interdit de faire des copies de cette publication ou d extraits de cette publication sans la permission écrite du CSTC i

4 Page intentionnellement laissée en blanc. ii 2009

5 Table des matières 1.1 Système de détection d intrusions (IDS) Système de prévention d intrusions (IPS) Systèmes de détection et de prévention des intrusions Méthodes de détection Technologie axée sur les signatures Analyse dynamique du protocole Analyse axée sur les anomalies statistiques Types de dispositif Solutions au niveau de l hôte Solutions IPS au niveau du réseau Solution hybride Information obtenue du réseau Évaluation des vulnérabilités Information obtenue de l utilisateur Correction Attaques Modèles connus Attaques du «jour zéro» Attaques de l analyste Techniques évasives Détection erronée Faux positifs Faux négatifs Explosion des signatures Mises à jour fréquentes Interventions Paquets non standard Renforcement Rendement relatif au volume de trafic Gestion et production de rapports centralisées Intégration à l infrastructure de réseau en place Gestion des réseaux Configuration Conformité aux normes Acronymes Glossaire iii

6 Liste des tableaux Tableau 1 : Liste de contrôle des fonctions de sécurité : Systèmes de prévention d intrusions (IPS) Liste des figures Figure 1 : IPS hors du chemin réseau dans une DMZ iv 2009

7 Page intentionnellement laissée en blanc v

8

9 1 Introduction Les coupe-feu et le système de détection d intrusions (IDS) servent principalement de mécanisme de défense contre les attaques actives. Ni l un ni l autre n offre de défense contre une attaque essentiellement passive, par exemple, la simple écoute clandestine des communications entre deux parties. Habituellement, on insère un IDS dans la zone d accès public (ZAP), immédiatement après le coupe-feu où se trouve la zone démilitarisée (DMZ). Cela permet à l IDS de détecter les attaques qui traversent le coupe-feu, ou celles qui émanent du réseau organisationnel. En plaçant l IDS à l extérieur de la zone d accès public, après le coupe-feu, on engendre beaucoup d événements et de bruits et on fait en sorte qu un analyste de réseau TI aura de la difficulté à établir une corrélation entre les données importantes sur les attaques par saturation du coupe-feu. 1.1 Système de détection d intrusions (IDS) Les premiers systèmes de détection d intrusions offraient uniquement une capacité de détection. Le système IDS était donc un système réactif qui permettait aux attaques de pénétrer dans le réseau sans que l analyste ne puisse intervenir au moment opportun. Toutefois, ces systèmes ont permis de tirer avantage des données recueillies et ainsi d analyser l historique des attaques et de déterminer les faiblesses des réseaux. Cela a permis de configurer des contrôles de sécurité intégrés, tels les coupe-feu, pour atténuer les risques. 1.2 Système de prévention d intrusions (IPS) Afin d offrir une approche proactive à la détection d intrusions, les fournisseurs ont créé le Système de prévention d intrusions (IPS). Ce système a permis d améliorer le délai nécessaire à l atténuation des risques et de prévenir toute propagation de maliciel ou perturbation de réseau ultérieures. L IPS peut être inséré en ligne là où il est en mesure d inspecter le trafic qui transite par le dispositif et de décider, grâce à ses fonctions actives de prévention des menaces, s il y a lieu d acheminer ou de rejeter l information. Il peut également être placé hors-circuit et utiliser une interface de correction capable de fournir de nouvelles règles au coupe-feu pour contrer une menace. 1.3 Systèmes de détection et de prévention des intrusions L inspection en ligne du trafic par un IPS a une incidence sur le rendement, ce qui restreint le nombre de menaces qu un système peut détecter sans nuire aux utilisateurs. Cette constatation a été à l origine de la création d une solution capable à la fois de détecter et de prévenir les menaces. Les fournisseurs donnent différents noms à ces solutions : systèmes de détection et de

10 prévention d intrusions (IDPS), prévention et détection des intrusions (IDP) et simplement IPS. Aux fins du présent document, un IPS désigne un dispositif capable d assurer simultanément la détection et la prévention sur le chemin et hors du chemin et de corriger automatiquement certaines menaces dont un analyste juge le niveau élevé. Puisque la plupart des fournisseurs offrent une fonctionnalité IDS dans leur IPS, le document Gartner Hype Cycle for Infrastructure Protection 1 recommande l achat de détecteurs IPS ou d un coupe-feu de prochaine génération plutôt que d un IDS. Toutefois, les solutions essentiellement axées sur l IDS peuvent s avérer précieuses pour certaines applications. 1 La recommandation du document Gartner Hype Cycle for Infrastructure Protection a été formulée dans la version de septembre 2008 du document. Le cycle Gartner Hype Cycle décrit la maturité, l adoption et les applications opérationnelles des technologies

11 2 Aperçu 2.1 Méthodes de détection Il existe différentes méthodes de détection pour les solutions IPS. Habituellement, les fournisseurs IPS utilisent une combinaison de technologies pour déterminer les menaces : technologie axée sur les signatures, analyse dynamique du protocole et analyse axée sur les anomalies statistiques (également appelée analyse du comportement). Les différentes technologies servent à améliorer le rendement et la précision, et à détecter les attaques du «jour zéro». Chaque technologie possède ses forces et ses limites Technologie axée sur les signatures La majorité des solutions IPS utilisent un moteur axé sur les signatures. L IPS comprend des milliers de signatures ou de règles prédéfinies que l on peut activer pour détecter les menaces. La fonction d analyse des signatures permet la recherche des chaînes particulières qui caractérisent les attaques connues. Ce processus permet de comparer les signatures ou les types de trafic connus pour détecter les menaces ou les incidents potentiels. Pour la plupart des signatures, l IPS scrute le trafic à la recherche d une chaîne suspecte et malveillante susceptible d entraîner une exploitation du système. D autre part, les interventions des serveurs peuvent contenir de l information précieuse, par exemple, sur les «tentatives d'ouverture de session», ce qui peut signifier des tentatives d accès non autorisées. Les signatures peuvent servir à analyser ces interventions pour détecter des problèmes ou des violations de sécurité. Par contre, des interventions modifiées de façon malveillante peuvent permettre d exploiter une entité cliente d extrémité. Les solutions IPS axées sur les signatures doivent vérifier tout le trafic. Par exemple, elles doivent : vérifier que les demandes GET du protocole HTTP (Hypertext Transfer Protocol) ne tentent pas de télécharger un fichier.eml; détecter toute tentative de connexion du protocole FTP (File Transfer Protocol) à la «racine» à partir de la zone publique (c.-à-d., Internet); repérer les fichiers.exe dans les pièces jointes de courriel. Le moteur de signatures peut analyser très rapidement le trafic à la recherche d une chaîne particulière. Toutefois, cette opération peut ralentir le moteur selon le nombre de signatures ou de modèles actifs définis dans sa base de données. Il existe un inconvénient dans le cas des attaques dynamiques qui se propagent dans une multitude de paquets. Comme les signatures n incluent pas d information sur ces attaques, elles passent inaperçues. Les signatures définissent

12 les attaques connues mais n offrent aucune protection contre les attaques du jour zéro ou les attaques inconnues Analyse dynamique du protocole Cette analyse consiste à vérifier les écarts du protocole par rapport à la spécification établie. Elle peut traiter des transmissions de paquets multiples et faire le suivi de l information d état. L analyse s appuie sur des profils de protocole, préparés par les fournisseurs et différents organismes de normalisation, qui décrivent le comportement correct des protocoles. Par exemple, le protocole FTP réduit de beaucoup le nombre de commandes que peuvent utiliser les utilisateurs non authentifiés. Donc, lorsqu un utilisateur qui n est pas authentifié de façon appropriée tente d utiliser des commandes FTP, l IPS devrait conclure qu il s agit d une activité suspecte. Puisque le moteur d analyse dynamique vérifie l authentification, il peut intercepter et enregistrer l authentificateur, que les analystes pourront ensuite utiliser durant les enquêtes sur les incidents. L analyse de protocole valide les données entrées en contrôlant les valeurs minimales et maximales. Le moteur d analyse devrait juger suspecte toute entrée dont la valeur est supérieure au maximum, plus particulièrement si l entrée contient des données binaires. Les fournisseurs proposent des versions différentes des protocoles puisque les versions standard n incluent pas en général suffisamment de détails pour tenir compte de toutes les possibilités, ouvrant ainsi la voie à toutes sortes d hypothèses. Les profils ou les modèles de protocole tiennent habituellement compte de ces variantes, ce qui augmente leur complexité. En plus, les fournisseurs ajoutent des fonctions propriétaires aux spécifications de protocole, ce qui crée un autre problème. En effet, ces fonctions sont généralement mal documentées dans le domaine public et font en sorte qu il est impossible pour les fournisseurs IPS d analyser de façon appropriée les modifications de protocole. Enfin, le pistage dynamique ajoute en complexité et exige beaucoup de ressources puisqu il faut conserver toute cette information et inspecter le trafic de protocole. Le pistage dynamique ne peut pas détecter les attaques qui respectent le comportement du protocole, par exemple, les attaques par déni de service (DoS pour Denial of Service) Analyse axée sur les anomalies statistiques Cette analyse requiert la surveillance permanente du trafic afin de déterminer ce qu est un comportement normal et d en créer un modèle de base. Lorsqu une anomalie non conforme à ce modèle se produit, les analystes peuvent juger l événement suspect et lancer une enquête plus approfondie. Le profilage du trafic peut permettre de créer des modèles de base pour les utilisateurs, les applications, les hôtes et même pour les connexions de réseau. Par exemple, dans les entreprises, les périodes de travail sont généralement prédéfinies; les connexions des utilisateurs augmentent donc au début de la journée ouvrable et diminuent en fin de journée

13 Toute augmentation du nombre de connexions hors de cette plage peut donc entraîner des problèmes possibles de sécurité. Voici d autres possibilités d écart comportemental dont l IPS peut dresser le profil : le nombre moyen de connexions externes par utilisateur; le nombre de dispositifs qui se connectent au réseau organisationnel durant la journée de travail; le nombre et la taille des courriels envoyés par utilisateur; le nombre de tentatives infructueuses de connexion par jour et le nombre d utilisateurs différents à l origine de ces authentifications non réussies. L analyse des anomalies statistiques permet de détecter les menaces ou les attaques inconnues. Cette technique offre une certaine forme de prévention jusqu à ce que les enquêteurs soient en mesure de comprendre les nouvelles menaces et de cerner les vulnérabilités exploitées. Les problèmes associés aux détections axées sur les anomalies sont les suivants : difficulté pour les analystes de déterminer si l anomalie est causée par un maliciel ou si elle constitue un faux positif, et d établir la cause profonde; le stade d établissement du profil du trafic peut comprendre un mauvais comportement durant le processus d apprentissage; les événements importants, uniques ou rares, augmentent les alarmes d anomalie; les environnements dynamiques entraînent l établissement de profils inexacts qui causent de nombreuses fausses alarmes. 2.2 Types de dispositif Les différents types de solution IPS sont les suivants : IPS au niveau réseau (IPS-réseau), IPS au niveau hôte (IPS-hôte), IPS sans fil, et analyse du comportement des réseaux (NBA pour network behaviour analysis). La solution IPS sans fil surveille le trafic sur la couche de lien sans fil pour détecter les activités suspectes. La solution NBA utilise le flux d information qui transite par le réseau interne pour détecter un plus grand nombre d attaques, tels les vers ou les attaques par déni de service. Les solutions IPS sans fil et NBA ne sont pas visées par la portée du présent document

14 2.2.1 Solutions au niveau de l hôte L application IPS réside dans l hôte et surveille le trafic entrant et sortant ainsi que d autres activités effectuées par l hôte : modifications de la configuration, journaux sur l hôte, processus en cours d exécution, accès et modifications aux fichiers, demandes de ressources du système d exploitation et activités des applications. Ces solutions résident habituellement dans des serveurs essentiels; toutefois, les utilisateurs peuvent les utiliser dans leur propre système pour une meilleure protection. Le système de prévention d intrusions au niveau de l hôte (HIPS) utilise les technologies d analyse des anomalies et des signatures pour détecter et prévenir les activités malveillantes. Certaines solutions HIPS peuvent détecter les attaques envoyées dans le trafic chiffré du protocole HTTP sécurisé (HTTPS) en analysant les paquets après leur déchiffrement dans l hôte ou le serveur. Soit le HIPS insère une interface entre la fonction de déchiffrement et le moteur de traitement HTTP pour inspecter le trafic déchiffré, soit il intercepte les appels de système d exploitation effectués par l application HTTP. Il existe des fonctions de sécurité spécifiques pour les hôtes qui tournent dans des serveurs, selon les applications que le serveur peut prendre en charge. Ces fonctions peuvent protéger : les systèmes d exploitation; les bases de données; les serveurs Web. Les solutions HIPS fonctionnent également sur des plates-formes intereliées grâce à une console centrale prévue par le fournisseur HIPS. Elles peuvent découvrir des menaces isolées ou qui touchent plusieurs hôtes. Pour les déploiements à plus grande échelle, les HIPS peuvent transmettre ces événements à un système de gestion des informations et des événements de sécurité (SIEM pour Security Information and Event management) capable d établir des corrélation entre une multitude de données sur la sécurité provenant de différent dispositifs de sécurité dans le réseau. Les solutions HIPS peuvent consommer davantage de ressources et utiliser plus de puissance de traitement et, ainsi, influer sur le rendement de l hôte. En plus, l utilisation d une console centrale de corrélation fait en sorte que les HIPS utilisent une plus grande largeur de bande dans le réseau. Actuellement, ces solutions sont intégrées aux suites logicielles de sécurité normalement offertes par les fournisseurs de produits antivirus. Les solutions HIPS autonomes sont rares

15 Système d exploitation L objet premier d une solution HIPS est de protéger le système d exploitation. Un système d exploitation protégé est essentiel pour éviter de compromettre les systèmes d extrémité. La solution est en mesure d assurer cette protection en utilisant plusieurs techniques différentes : protection des ressources Les ressources de système tels les fichiers esssentiels, les bibliothèques, les comptes et les dossiers de répertoire doivent faire l objet d une vérification d intégrité pour prévenir toute modification non autorisée par des maliciels ou des attaquants; vérification et prévention des débordements de tampon Cette technique permet d intercepter les appels de système pour déterminer si une application a placé une demande de système ou si un tampon de débordement a effectué un appel de système. Dans ce dernier cas, la solution HIPS refuse l exécution de l appel de système et journalise l événement de sécurité; prévention de l élévation de privilège Les attaques qui tentent d élever les privilèges de système au niveau de super utilisateur (super-user) doivent être contrées. Les moteurs de protection doivent protéger tous les fichiers et toutes les ressources qui accordent des niveaux de privilège. Interdire les modifications non autorisées à ces fichiers de niveau de privilège permet de s assurer que les nouvelles attaques axées sur ces niveaux seront bloquées; attaques du «jour zéro» ou attaques inconnues L analyse des signatures permet de bloquer uniquement les menaces prédéfinies et bien connues. Pour éviter les nouvelles attaques, la solution HIPS doit recourir à des règles axées sur le comportement ou les anomalies; inspection des journaux L analyse des événements de sécurité contenus dans les fichiers journaux de l hôte permet à la solution HIPS de détecter les comportements anormaux et d assurer la conformité à la politique et aux normes réglementaires de sécurité; coupe-feu dynamique Le recours aux politiques de contrôle granulaire des applications permet de prévenir le traitement hâtif du trafic d attaque et libère les ressources de système pour d autres activités d inspection ou de surveillance Bases de données Les bases de données contiennent d énormes quantités d information précieuse et sensible. Les solutions doivent protéger cette information contre toute compromission par des attaquants ou

16 des maliciels. Elles peuvent protéger les applications de base de données en appliquant les mesures suivantes : protection contre les injections SQL (pour Structured Query Language) Cette méthode permet au serveur de base de données de répondre aux demandes de base de données valides. La solution HIPS purge toutes les demandes SQL et valide les valeurs d entrée pour empêcher des chaînes malveillantes de compromettre ou de faire planter le serveur; interdiction d accès Cette technique bloque les demandes non authentifiées à l information de la base de données ou l accès aux ressources de l extérieur de l application de base de données; protection par chiffrement La solution HIPS voit toutes les demandes de base de données après leur déchiffrement; les menaces ne peuvent donc pas être masquées par le chiffrement Serveurs Web Il existe des fonctions, destinées aux hôtes qui utilisent des serveurs Web, qui offrent les mécanismes de protection de sécurité suivants : protection par chiffrement Certaines solutions HIPS insèrent une interface logicielle entre le processus de déchiffrement SSL/TLS (Secure Sockets Layer/Transport Layer Security) et le moteur de traitement HTTP; d autres interceptent les appels de système d exploitation. Ces approches permettent de vérifier le trafic HTTP non chiffré régulier; attaques Web connues Les règles d analyse des signatures permettent de vérifier que le trafic HTTP ne contient aucune instruction malveillante bien connue; attaques inconnues Les règles d analyse du comportement ou des anomalies permettent d inspecter et de bloquer les appels de système d exploitation qui ne respectent pas la norme d application; ces appels pourraient permettre à un attaquant de modifier le contenu Web s ils étaient exécutés; protection des fichiers exécutables et de données Empêche toute modification aux fichiers de données ou aux fichiers exécutables de processus du serveur Web; intégrité du registre La solution HIPS s assure de la fiabilité des entrées de registre critiques afin que les serveurs Web qui ont besoin de ces valeurs puissent les utiliser en toute sécurité; prévention de l élévation de privilège Mécanisme semblable à celui indiqué pour le système d exploitation; la solution HIPS peut empêcher l utilisateur d élever le niveau de ses privilèges et lui interdire de modifier le contenu Web ou la configuration

17 La protection des serveurs Web a une incidence sur le rendement du système puisqu elle réduit sa capacité globale et augmente le temps de réponse aux demandes d accès aux URL et aux pages Web Modes de protection Pour permettre la mise au point de la solution HIPS et empêcher le blocage du trafic essentiel, le produit HIPS prévoit habituellement un mode apprentissage/surveillance et un mode prévention. En mode apprentissage, la solution crée un modèle de trafic normal de base et permet aux analystes de repérer dans leurs hôtes le trafic essentiel qui peut exiger des exceptions spéciales. Au cours de ce stade, la solution ne filtre ni ne bloque activement le trafic mais produit simplement un mécanisme d avertissement. Après avoir créé un profil d hôte, l analyste de TI peut passer en mode prévention, stade au cours duquel la solution assure la protection de toutes les fonctions de sécurité activées en interdisant, filtrant et bloquant les attaques. Certains fournisseurs vont encore plus loin et empêchent toute modification système de l hôte pour maintenir son état d hôte renforcé et fiable. L analyste doit alors retourner en mode apprentissage ou prévention pour apporter les modifications système requises Solutions IPS au niveau du réseau Dans les solutions au niveau réseau, l IPS réside dans un dispositif autonome qui demeure sur le chemin ou hors du chemin pour surveiller activement le trafic du réseau et détecter et prévenir les menaces dans la couche réseau ou application. L IPS-réseau est généralement déployé aux frontières des différentes zones du réseau, par exemple, dans la DMZ, immédiatement derrière le coupe-feu, tel qu illustré dans le détecteur hors du chemin réseau à la Figure

18 Interne IP DMZ Organism Figure 1 : IPS hors du chemin réseau dans une DMZ Dans le cas des solutions qui exigent une intervention immédiate face aux menaces, on doit placer le détecteur sur le chemin réseau. Le dispositif IPS réside alors directement dans le chemin réseau; il inspecte le trafic et l achemine à destination après avoir appliquer les signatures activées et les mesures correctives configurées. Les menaces détectées sont bloquées immédiatement. En plus de détecter les menaces par l analyse des signatures, le protocole, et l analyse des anomalies, l IPS peut inclure les mécanismes suivants pour améliorer la sécurité et réduire les fausses alarmes : filtrage par coupe-feu du trafic à inspecter; configuration automatique de règles pour l utilisation de ports non standard lorsque l on détecte que les applications utilisent de tels ports; inspection des paquets avec le protocole SSL;

19 protection contre les débordements de tampon; protection contre les techniques évasives telles la fragmentation IP; corrélation automatique des attaques, par une évaluation en temps réel des vulnérabilités de système hôte, pour déterminer leur pertinence. Par exemple, un exploit de serveur Web dans un hôte qui n utilise pas ce type de serveur est non pertinent puisque l attaque ne peut avoir d incidence ou d effet sur l hôte. La solution requiert d effectuer une évaluation distincte des vulnérabilités de l hôte et d intégrer les résultats à la base de données du détecteur IPS. Pour inspecter le trafic SSL (Secure Sockets Layer) chiffré, on doit exporter la clé SSL privée de trafic dans le détecteur IPS. Puisque le chiffrement consomme beaucoup de temps de traitement de l UCT (unité centrale de traitement), le détecteur IPS est généralement doté d une fonction SSL d accélération qui permet un déchiffrement plus rapide du trafic. Le détecteur déchiffre le trafic et l inspecte pour déceler des menaces. Dans le cas des solutions appliquées hors du chemin réseau, le dispositif peut capter le trafic qui traverse le réseau. L IPS reçoit le trafic en utilisant le miroitage de port ou un TAP réseau préalablement installé. Enfin, une fonction centralisée de corrélation peut gérer tous les détecteurs IPS déployés. Elle peut offrir les mécanismes suivants : profils de configuration, faciles à déployer, qui permettent à tous les détecteurs IPS d offrir des fonctions similaires; diffusion, au besoin, de modifications de configuration individuelles vers un ou plusieurs détecteurs; corrélation limitée d événements des détecteurs; mises à jour automatiques ou manuelles des politiques, par un gestionnaire central, des dispositifs de contrôle de sécurité, tels les coupe-feu, pour contrer toute menace détectée Miroitage de port Le miroitage de port, également appelé optimisation de port, permet la connexion directe d un IPS-réseau à un routeur ou un commutateur. Le trafic d un des commutateurs est dupliqué, ou mis en miroir, dans le port de surveillance de l IPS. La plupart des commutateurs modernes offrent le miroitage de port. Le regroupement de ports permet de relier plusieurs ports et de regrouper le trafic en un seul flux par le port miroir

20 Le miroitage de port présente toutefois plusieurs inconvénients. Si le trafic de tous les ports est mis en miroir dans le port de surveillance, il y aura un fort taux de collision et plusieurs des paquets seront perdus. Si on utilise cette technique pour surveiller uniquement le trafic qui transite par un ou plusieurs ports spécifiques, il est possible qu elle échappe certains paquets (messages d erreur, moitié d une communication en mode duplex intégral, ou autres données importantes). Il est très difficile de traiter tout le trafic des différents segments d un réseau local; il faut pouvoir compter sur un grand nombre de détecteurs IPS, dispositifs qui sont très coûteux TAP réseau Un TAP réseau est un dispositif en ligne inséré dans une liaison point à point entre deux dispositifs. Un TAP réseau de base comprend trois interfaces deux ports d entrée-sortie et un port de surveillance. Le trafic circule de manière transparente par les deux ports d entrée-sortie; une fois le dispositif installé, les deux extrémités de la liaison point à point n ont aucune connaissance de sa présence. Lorsque l IPS se connecte au port de surveillance, le TAP réseau lit tout le trafic qui le traverse. Plusieurs TAP réseau sont munis de deux ports de surveillance, chacun consacré à la transmission des données d un des ports d entrée-sortie; ainsi, l IPS capte le trafic dans les deux directions. Pour surveiller un vaste réseau, les TAP réseau peuvent être installés dans toutes les liaisons point à point; leur sortie peut être multiplexée par un commutateur ou un panneau TAP. Dans le cas des vastes réseaux à haute vitesse, tels les réseaux de 1Gbps à fibre optique, on doit habituellement utiliser plusieurs détecteurs IPS reliés à un équilibreur de charge et pris en charge par une ou plusieurs consoles IPS centrales. Une fois installé, le TAP réseau impose peu ou pas de surcharge au trafic. Un analyste peut activer ou désactiver la fonction de surveillance du trafic d un IPS par TAP réseau sans qu il n y ait d incidence sur le trafic réseau Solution hybride L utilisation simultanée d un IPS-hôte et d un IPS-réseau dans un réseau organisationnel permet d accroître la sécurité ainsi que la fiabilité du réseau. Cette solution hybride offre une couche de sécurité supplémentaire pour le trafic suspect qui traverse un IPS-réseau sans être détecté; le trafic parvient ensuite à l hôte où il peut être inspecté, détecté et bloqué par le HIPS. La corrélation des données de l agent hôte et de l information de réseau permet d obtenir une vue plus exhaustive du réseau. À cette fin, on utilise habituellement une solution SIEM (gestion des informations et des événements de sécurité) pour recueillir des données sur l hôte et le réseau à partir de nombreux dispositifs et contrôles de sécurité différents présents dans le réseau. Cela permet d obtenir une perspective plus complète de la posture de sécurité du réseau organisationnel. La solution SIEM est hors de la portée du présent document

21 2.3 Information obtenue du réseau L information obtenue du réseau peut apporter à une solution IPS davantage de renseignements précieux que l on peut corréler et qui permettent de réduire l explosion des faux positifs mentionnés à la section 3.2.1, Faux positifs. L information fournie par le réseau peut être d une grande utilité pour aider un détecteur IPS à relever avec précision les vraies menaces, notamment : noms et numéros de version des systèmes d exploitation utilisés; applications ou services offerts; évaluation des vulnérabilités des hôtes utilisés dans le réseau; protocoles utilisés; détection de trafic TCP (Transport Control Protocol) unidirectionnel. Ce type de trafic peut indiquer une mauvaise configuration des détecteurs, qui reçoivent uniquement la moitié du trafic prévu; mais, de manière générale, il indique plutôt qu un attaquant essaie d exploiter un hôte cible sans d abord effectuer une connexion TCP valide. Le jumelage de cette information aux méthodes d analyse de l IPS, telles les analyses de signatures ou d anomalies, permet au détecteur de compter sur davantage d information pour prendre des décisions plus judicieuses et précises et de déterminer si le problème constitue une vraie menace. Par exemple, un exploit spécifique de système d exploitation, à l encontre d un hôte cible qui n utilise pas le système en question, ne constitue pas une menace réelle pour le réseau. Connaître les applications et services qui tournent dans un réseau et son état actuel de vulnérabilité permet de réduire le nombre de faux positifs. Certains fournisseurs IPS offrent des fonctions adaptatives de mise au point de l IPS qui tiennent compte de l environnement du réseau organisationnel, notamment : indication de la gravité de l alarme selon le réseau; réécriture dynamique des signatures dans les cas où les applications utilisent des ports non standard; formulation de recommandations ou, même, reconfiguration automatique des signatures qui doivent être activées ou désactivées