Qu'est-ce qu'un IPS / IDS ? Détection et prévention d'intrusion

IPS (Intrusion Prevention System) et IDS (Intrusion Detection System) sont des systèmes qui détectent/bloquent les attaques réseau en temps réel. IDS = détection seule (passive), IPS = blocage inline. Intégré dans les NGFW modernes. Basé sur signatures + behavioral analysis + ML.

IDS vs IPS

• IDS : écoute en mode SPAN/tap, détecte et alerte, ne bloque pas
• IPS : inline dans le flux, bloque les attaques temps réel
• IPS = évolution moderne, intégré NGFW
• IDS encore utilisé en forensics + investigations

Techniques détection

• Signature-based : base de signatures connues (Snort rules, Suricata)
• Anomaly-based : détection déviations vs baseline
• Stateful protocol analysis
• ML/AI (2023+) : patterns comportementaux
• Threat intelligence feeds : IPs, URLs malveillantes

Leaders

• Palo Alto Networks IPS : intégré Threat Prevention
• Cisco Firepower avec Snort 3
• Fortinet FortiGate IPS
• Stormshield IPS certifié ANSSI
• Snort/Suricata : open source

Coverage typique

• Exploits OS/apps connus (CVE)
• Malware C2 callbacks
• Brute force attacks
• DDoS basique
• Web app attacks (SQLi, XSS)
• Lateral movement (Mimikatz, PowerShell)

Commander chez OPTINOC

NGFW avec IPS : FortiGate, Palo Alto, Cisco Firepower, Stormshield. Configuration règles + tuning. Devis sous 48h.