III.3.2.
Réponse active et passive
Il existe deux types de réponses, suivant les IDS
utilisés. La réponse passive est disponible pour tous les IDS
alors que la réponse active est elle plus ou moins
implémentée.
III.3.2.1.
Réponse passive :
La réponse passive d'un IDS consiste à enregistrer
les intrusions détectées dans un fichier de log qui sera
analysé par le responsable de sécurité.
Certains IDS permettent de logger l'ensemble d'une connexion
identifiée comme malveillante.
Ceci permet de remédier aux failles de
sécurité pour empêcher les attaques enregistrées de
se reproduire, mais elle n'empêche pas directement une attaque de se
produire.
III.3.2.2.
Réponse active :
La réponse active, au contraire a pour but de stopper une
attaque au moment de sa détection. Pour cela on dispose de deux
techniques : la reconfiguration du firewall et l'interruption d'une connexion
TCP.
La reconfiguration du firewall permet de bloquer le trafic
malveillant au niveau du firewall, en fermant le port utilisé ou en
interdisant l'adresse de l'attaquant. Cette fonctionnalité dépend
du modèle de firewall utilisé, tous les modèles ne
permettant pas la reconfiguration par un IDS. De plus, cette reconfiguration ne
peut se faire qu'en fonction des capacités du firewall.
L'IDS peut également interrompre une session
établie entre un attaquant et sa machine cible, de façon à
empêcher le transfert de données ou la modification du
système attaqué. Pour cela l'IDS envoie un paquet TCP reset aux
deux extrémités de la connexion (cible et attaquant). Un paquet
TCP reset a le flag RST de positionner, ce qui indique une déconnexion
de la part de l'autre extrémité de la connexion. Chaque
extrémité en étant destinataire, la cible et l'attaquant
pensent que l'autre extrémité s'est déconnectée et
l'attaque est interrompue.
Dans le cas d'une réponse active, il faut être
sûr que le trafic détecté comme malveillant l'est
réellement, sous peine de déconnecter des utilisateurs
normaux.
En général, les IDS ne réagissent pas
activement à toutes les alertes. Ils ne répondent aux alertes que
quand celles-ci sont positivement certifiées comme étant des
attaques. L'analyse des fichiers d'alertes générés est
donc une obligation pour analyser l'ensemble des attaques
détectées.
| 
