CyberGlossary

Sécurité réseau

Système de détection d'intrusion (IDS)

Aussi appelé: IDS

Définition

Contrôle de sécurité passif qui surveille l'activité réseau ou hôte à la recherche de comportements malveillants et émet des alertes sans bloquer le trafic.

Un système de détection d'intrusion (IDS) inspecte le trafic, les journaux ou les appels système et génère des alertes lorsqu'il observe une activité correspondant à des signatures connues, à des anomalies statistiques ou à des violations de politique. Les IDS peuvent être réseau (NIDS) sur des ports SPAN/TAP ou hôte (HIDS) sur les terminaux, et transmettent généralement les alertes à un SIEM pour corrélation, triage et réponse à incident. Parce qu'un IDS détecte sans bloquer, il s'installe sans risque de couper le trafic, ce qui le rend adapté aux environnements à fort débit ou sensibles. Son efficacité dépend d'un réglage fin, de signatures à jour, d'un enrichissement par threat intel et d'un workflow d'analyste mature.

Exemples

  • Suricata surveille un port SPAN et alerte sur un schéma d'exploitation de Log4Shell.
  • OSSEC sur un hôte Linux détecte une modification de /etc/passwd et envoie une alerte au SIEM.

Termes liés