Sommaire
🔒 Module CYB13 – Les IDS
Objectifs : comprendre le rôle des IDS, les types, les outils et savoir analyser les alertes.
📖 Introduction
Un IDS (Intrusion Detection System) est un système qui surveille le trafic réseau ou les activités d'un système pour détecter des comportements suspects ou malveillants. Il alerte l'administrateur sans bloquer le trafic.
À l'issue de ce module, vous serez capable de :
- Expliquer le rôle d'un IDS.
- Distinguer NIDS et HIDS.
- Configurer et utiliser Snort ou Suricata.
- Analyser les alertes et les logs.
📐 Rôle et types d'IDS
- NIDS : Network IDS, surveille le trafic réseau (ex : Snort, Suricata).
- HIDS : Host IDS, surveille les logs et les fichiers d'un système (ex : OSSEC, Tripwire).
- Détection par signature : compare le trafic à une base de signatures (attaque connue).
- Détection par anomalie : identifie les comportements anormaux (statistique, IA).
⚙️ Snort et Suricata
- Snort : IDS/IPS open-source, le plus connu. Utilise des règles en langage C.
- Suricata : successeur moderne, multi-thread, support de HTTP/2, TLS, etc.
- Règles : définissent les signatures d'attaque (ex :
alert tcp any any -> any 80). - Logs : au format unified2 ou eve.json (Suricata).
🔧 Configuration de Suricata
4.1 – Installation
apt install suricatasuricata-update: met à jour les règles (ET Open).
4.2 – Lancer Suricata
Démarrer Suricata en mode IDS sur l'interface eth0 :
suricata -c /etc/suricata/suricata.yaml -i eth0
-c: fichier de configuration.-i eth0: interface à surveiller.- Les alertes sont dans
/var/log/suricata/eve.json.
4.3 – Analyser les alertes
Lire les alertes avec jq :
tail -f /var/log/suricata/eve.json | jq 'select(.event_type=="alert")'
jq: outil de traitement JSON.- Filtre les événements de type "alert".
🛠️ Mise en pratique
5.1 – Tester une règle Snort
Créer une règle simple pour détecter les scans de port :
alert tcp any any -> any any (msg:"Port scan"; flags:S; threshold: type both, track by_src, count 5, seconds 10;)
- Détecte les paquets SYN (flags:S).
threshold: 5 tentatives en 10 secondes.
📝 Exercices d'application
Exercice 1 – Types d'IDS
Quel IDS surveille le trafic réseau ?
NIDS (Network IDS).
Exercice 2 – Outil
Quel outil est le successeur moderne de Snort ?
Suricata
🎯 Quiz d'auto‑évaluation
1. Un IDS alerte mais ne bloque pas le trafic.
2. La détection par signature est efficace contre les attaques :
3. Suricata utilise les logs au format :
4. La commande suricata -i eth0 lance Suricata sur l'interface eth0.
5. Un HIDS surveille les fichiers et logs d'un système.