Architecture système sécurisée de sonde IDS réseau

Auteurs : Pierre Chifflier (ANSSI) et Arnaud Fontaine (ANSSI)
Présenté par Pierre Chifflier et Arnaud Fontaine à C&ESAR 2014 le 25 novembre 2014.

Les systèmes de détection d’intrusion réseau (NIDS) sont largement utilisés pour effectuer la supervision de sécurité. Ces systèmes sont cependant eux-mêmes peu sécurisés, alors qu’ils sont par nature très exposés aux attaques.
Nous proposons une architecture de référence pour les sondes hébergeant des logiciels IDS. Cette architecture renforce la sécurité des logiciels IDS et permet de limiter les conséquences d’une attaque sur la sonde. Elle permet de définir des nouveaux flux d’information pour traiter les alertes collectées.

Un prototype d’implémentation, adapté à la détection sur des réseaux industriels et basé sur l’IDS Suricata, a été réalisé pour démontrer la faisabilité et analyser l’efficacité des protections et leur impact sur les performances.