IDS

Intrusion Detection System : système de détection d’intrusion

Un IDS surveille le trafic d’un réseau ou l’activité d’une machine et signale ce qui ressemble à une attaque, sans intervenir lui-même. Il alerte : décider et agir reste l’affaire de quelqu’un d’autre.

Signatures ou comportement

Le guide de référence du NIST, l’agence américaine de normalisation, distingue deux méthodes. La première compare l’activité observée à des signatures, des motifs correspondant à des menaces connues : très efficace contre ce qui est déjà répertorié, largement aveugle à une attaque nouvelle ou à une variante légèrement modifiée. La seconde apprend pendant quelques jours ou semaines ce qui est normal, puis signale les écarts : elle voit l’inédit, au prix de fausses alertes plus nombreuses.

L’attaquant patient

Un profil qui s’ajuste en continu a un point faible, relevé par le même guide : un intrus qui commence petit et augmente son activité très lentement peut finir par la faire passer pour normale. Revoir régulièrement ce que l’outil considère comme habituel fait partie du travail.

Snort, la référence ouverte

Écrit en 1998 par Martin Roesch et distribué librement, Snort est devenu le détecteur d’intrusion le plus répandu ; la société créée pour le commercialiser, Sourcefire, a été rachetée par Cisco en 2013. Suricata, lancé en 2010 par une fondation à but non lucratif, est l’autre grand projet libre. Tous deux équipent de nombreux produits du marché.

Réseau ou machine, détecter ou bloquer

Un IDS de réseau observe le trafic à un point de passage ; un IDS d’hôte surveille ce qui se produit sur une machine, comme le fait aujourd’hui un EDR. Et lorsqu’il ne se contente plus de signaler mais interrompt lui-même la connexion, il devient un IPS.

Mise à jour : 26 octobre 2026