IPS (Intrusion Prevention System)

Qu'est-ce que l'IPS

L'IPS (Intrusion Prevention System) est un système de prévention des intrusions qui fonctionne comme un mécanisme de protection active intégré à l'infrastructure réseau. Contrairement aux pare-feu, qui se contentent d'autoriser ou de bloquer le trafic selon des règles statiques (basées sur les adresses IP et les ports), un IPS analyse en profondeur le contenu des paquets et le comportement des flux, prenant une décision en temps réel : autoriser, bloquer ou limiter le débit de transmission.

En termes simples : si un pare-feu est une barrière qui vérifie le numéro de la voiture (adresse IP), alors un IPS est un inspecteur qui fouille le contenu du coffre, vérifie les documents et le comportement du conducteur pour s'assurer qu'il n'y a rien de dangereux dans le véhicule. L'IPS intervient activement dans le processus, en bloquant les connexions suspectes et en empêchant la propagation des menaces.

L'IPS est souvent associé à l'IDS (système de détection d'intrusions), mais la différence principale est que l'IPS intervient activement dans le processus : il réinitialise les connexions, bloque les adresses IP des attaquants, bloque les paquets malveillants et notifie le centre de surveillance de la sécurité de l'information (SOC). Dans les réseaux d'entreprise, un IPS est déployé en périphérie du réseau (devant le centre de données) ou au sein des segments pour protéger les serveurs critiques et les bases de données.

Selon Gartner, d'ici 2027, plus de 80 % des grandes organisations utiliseront un IPS dans leur stratégie de sécurité réseau, en raison de la multiplication des attaques complexes au niveau applicatif (L7) et de l'accroissement du trafic transitant par les réseaux d'entreprise.

Comment fonctionne un IPS

Un IPS utilise plusieurs méthodes pour détecter et bloquer les menaces, en temps réel (inline) :

1. Analyse par signatures : comparaison du trafic avec une base d'attaques connues (équivalent des signatures antivirus). Efficace contre les menaces connues pour lesquelles des signatures ont déjà été créées, mais inutile contre les attaques zero-day. Les bases de signatures sont mises à jour régulièrement (chaque jour ou chaque semaine).
2. Analyse des anomalies (comportementale) : le système apprend à partir du trafic habituel (il crée un profil de comportement normal) et détecte les écarts (par exemple, une hausse brutale du nombre de paquets SYN, un trafic atypique sur des ports fermés, des tailles de paquets anormales).
3. Analyse protocolaire : vérification de la conformité des protocoles réseau aux normes (par exemple, détection d'un HTTP smuggling, de réponses DNS falsifiées, de violations du protocole TLS).
4. Analyse de réputation : vérification des adresses IP et des domaines auprès de bases de réputation (Threat Intelligence) pour détecter les connexions avec des serveurs C&C (Command and Control) ou des botnets connus.

Un IPS travaille de pair avec les systèmes SIEM, en leur transmettant les événements pour corrélation et analyse. Les journaux IPS sont conservés dans des systèmes de stockage de données pour l'enquête ultérieure sur les incidents et l'investigation numérique. Les IPS modernes utilisent également l'apprentissage automatique pour détecter de nouveaux schémas d'attaque sans avoir besoin de signatures.

Principaux types d'IPS

Les IPS se classent selon leur lieu d'installation, leur mode de fonctionnement et leur niveau de protection :

• IPS réseau (NIPS) : installés aux points clés du réseau (en périphérie, entre les segments, devant le centre de données). Ils analysent tout le trafic de passage aux niveaux réseau et applicatif. Le type le plus répandu pour les réseaux d'entreprise.
• IPS hôte (HIPS) : installés sur des serveurs ou postes de travail individuels. Ils analysent l'activité au niveau du système d'exploitation (appels système, lancement de processus, modifications du registre). Souvent intégrés aux logiciels antivirus et aux solutions EDR.
• IPS sans fil (WIPS) : ils protègent les réseaux Wi-Fi contre les points d'accès non autorisés (Rogue AP) et les attaques contre les protocoles 802.11 (par exemple, la déauthentification).
• NBA (Network Behavior Analysis) : ils analysent le trafic réseau pour détecter les anomalies comportementales.

En Russie, le choix des solutions IPS est souvent dicté par les exigences de la loi 187-FZ et par la nécessité d'utiliser des équipements figurant au Registre des logiciels nationaux. Les solutions IPS nationales (par exemple, UserGate, Positive Technologies) sont certifiées par le FSTEC et peuvent être employées dans les systèmes d'information publics.

Pourquoi un IPS est nécessaire et comment il protège

Un IPS assure la protection contre un large éventail de menaces que les pare-feu classiques ne peuvent stopper :

• Attaques réseau : blocage du balayage des ports, des attaques DoS, de la fragmentation de paquets, de l'usurpation IP.
• Logiciels malveillants : détection et blocage du trafic provenant de botnets et de serveurs C&C, ainsi que des tentatives de téléchargement de fichiers malveillants (par exemple, des exploits).
• Exploits et vulnérabilités : prévention de l'exploitation des vulnérabilités des protocoles et applications (par exemple, EternalBlue, Heartbleed, Shellshock). L'IPS bloque les tentatives d'exploitation avant qu'elles n'atteignent un serveur vulnérable.
• Attaques au niveau applicatif (L7) : blocage des injections SQL, du XSS et des injections de commandes dans le trafic HTTP.

Un IPS contribue également à l'enquête sur les incidents en fournissant des journaux détaillés et des informations sur les attaques bloquées, utiles pour l'analyse des menaces et l'amélioration des politiques de sécurité.

L'IPS dans l'écosystème de cybersécurité

Un IPS n'est pas une solution isolée : il s'intègre à un système global de protection de l'information. Pour une efficacité maximale, l'IPS est intégré aux autres outils :

• Pare-feu nouvelle génération (NGFW) : l'IPS fait souvent partie intégrante d'un NGFW, assurant la protection au niveau applicatif en complément du filtrage traditionnel.
• Systèmes SIEM : l'IPS transmet ses événements et journaux au SIEM pour une corrélation centralisée avec les autres sources.
• EDR/XDR : l'IPS protège au niveau réseau, l'EDR au niveau des terminaux. Ensemble, ils créent une protection multicouche couvrant tous les vecteurs d'attaque possibles.
• SOAR : l'intégration avec SOAR permet d'automatiser la réponse aux événements IPS (par exemple, le blocage automatique d'une adresse IP dans un pare-feu).

La mise en place d'un IPS dans le cadre d'un système de sécurité global exige une conception professionnelle. Le service de conception et les cours de formation aideront à configurer correctement le système et à l'intégrer à l'infrastructure existante.