IDS basé réseau (NIDS)

Un IDS basé réseau (NIDS) reçoit une copie mirroitée ou tapée du trafic — via des ports SPAN, des TAP réseau, des packet brokers ou des taps virtuels — et l'analyse avec des signatures (règles Snort/Suricata), des décodeurs de protocoles (Zeek) et des modèles statistiques. Un NIDS offre une visibilité large sur de nombreux hôtes sans agent par endpoint, est utile pour la surveillance nord-sud et est-ouest et constitue un capteur fondamental pour les SOC et le threat hunting. Comme TLS chiffre une grande partie du trafic actuel, le NIDS s'appuie de plus en plus sur les métadonnées TLS, les empreintes JA3/JA4 et l'analyse comportementale des flux. Son efficacité exige une conception soignée des points de capture, un dimensionnement adapté, une synchronisation horaire fiable et l'intégration au SIEM et au NDR.