Cours – Les IDS

📘 Cours complet ⏱️ 3h 🎯 Bloc 3 – Cybersécurité
Objectifs : comprendre le rôle des IDS, les types, les outils et savoir analyser les alertes.

📖 Introduction

Un IDS (Intrusion Detection System) est un système qui surveille le trafic réseau ou les activités d'un système pour détecter des comportements suspects ou malveillants. Il alerte l'administrateur sans bloquer le trafic.

🎯

À l'issue de ce module, vous serez capable de :

Expliquer le rôle d'un IDS.
Distinguer NIDS et HIDS.
Configurer et utiliser Snort ou Suricata.
Analyser les alertes et les logs.

📐 Rôle et types d'IDS

⚙️ Snort et Suricata

🔧 Configuration de Suricata

4.1 – Installation

4.2 – Lancer Suricata

Démarrer Suricata en mode IDS sur l'interface eth0 :

suricata -c /etc/suricata/suricata.yaml -i eth0

-c : fichier de configuration.
-i eth0 : interface à surveiller.
Les alertes sont dans /var/log/suricata/eve.json.

4.3 – Analyser les alertes

Lire les alertes avec jq :

tail -f /var/log/suricata/eve.json | jq 'select(.event_type=="alert")'

jq : outil de traitement JSON.
Filtre les événements de type "alert".

🛠️ Mise en pratique

5.1 – Tester une règle Snort

Créer une règle simple pour détecter les scans de port :

alert tcp any any -> any any (msg:"Port scan"; flags:S; threshold: type both, track by_src, count 5, seconds 10;)

Détecte les paquets SYN (flags:S).
threshold : 5 tentatives en 10 secondes.

📝 Exercices d'application

Exercice 1 – Types d'IDS

Quel IDS surveille le trafic réseau ?

NIDS (Network IDS).

Exercice 2 – Outil

Quel outil est le successeur moderne de Snort ?

Suricata

🎯 Quiz d'auto‑évaluation

2. La détection par signature est efficace contre les attaques :

A) Inconnues B) Connues C) Toutes

4. La commande suricata -i eth0 lance Suricata sur l'interface eth0.

A) Vrai B) Faux

🔍 Module C13 – Les IDS