Ethical hacking et
test d’intrusion
Pr. Safae SMIRI
ENSIASD
2025/2026
1
Système de Prévention d’Intrusion
(IPS)
Définition du système IPS:
Un IPS est un dispositif réseau ou logiciel qui :
Surveille le trafic en temps réel
Détecte des attaques potentielles
Bloque ou réagit automatiquement à ces menaces
Objectifs:
• Prévenir les intrusions connues et inconnues.
• Bloquer les attaques avant qu'elles atteignent les hôtes.
• Protéger les ressources critiques du réseau.
• Réagir en temps réel (ex : blocage de paquets, reset de connexions).
2
Types d’IPS
• NIPS (Network-based IPS) : Analyse le trafic réseau
• HIPS (Host-based IPS) : Protège un hôte ou serveur spécifique
• WIPS (Wireless IPS) : Cible les réseaux sans fil
• NIPS hybrides : Combinaison de NIDS et HIDS avec prévention
3
Règles fondamentales d’un IPS
Ci-dessous les règles (politiques de détection et de réponse) qu’un IPS applique :
6
Adaptation des IPS à des environnements
spécifiques
Un IPS efficace repose sur :
• Des règles bien calibrées (signature, anomalies, état)
• Une adaptation fine à l’environnement
• Une gestion proactive des incidents et fausses alertes
Mode de fonctionnement d’un IPS
Système de Prévention d’intrusion (IPS)
Système de Prévention d’intrusion (IPS)
Voici les principales solutions qu’un système IPS peut mettre en
œuvre :
1- Blocage automatique du trafic malveillant
• Interruption immédiate des connexions suspectes.
• Exemple : Si une attaque DoS est détectée, l’IPS peut bloquer les paquets ou l’adresse
IP source.
2- Fermeture ou blocage de ports réseau
Si l’attaque provient d’un port particulier (ex. : TCP port 445 pour SMB ’Server Message
Block’), l’IPS peut le désactiver temporairement.
3- Mise en quarantaine de l’hôte suspect
L’IPS peut isoler un poste compromis (par VLAN, firewall ou route spécifique).
Cela permet de stopper la propagation d’un malware.
Système de Prévention d’intrusion (IPS)
4. Application de signatures ou règles comportementales
L’IPS utilise des signatures d’attaques connues (comme un antivirus) ou détecte
des comportements anormaux.
Exemple : détection d’un scan de ports, d’un excès de requêtes HTTP, etc.
5. Modification dynamique des règles de pare-feu
L’IPS peut interagir avec un pare-feu pour ajouter une règle de blocage
temporaire ou permanente.
6. Enregistrement et journalisation (logging)
L’IPS consigne tous les événements, qu’ils soient bloqués ou autorisés.
Ces logs sont utiles pour les audits et les analyses post-incident.
Système de Prévention d’intrusion (IPS)
7- Notification / Alerte
Envoie d’emails, SMS, ou alertes via des outils SIEM (Security Information and
Event Management) à l’équipe sécurité.
8- Collecte d’informations pour l’analyse forensique
Captures de paquets (PCAP), enregistrement de la séquence d’événements,
etc.
9- Intégration avec d'autres systèmes de sécurité
Exemple : synchronisation avec un antivirus, EDR (Endpoint Detection &
Response), ou un système SIEM pour corréler les événements et renforcer la
sécurité.
7
Système de Prévention d’intrusion (IPS)
Quel que soit le type d’IPS choisi, la solution met en œuvre une série
d’étapes ou de mesures prévisibles.
Un IPS surveille votre réseau pour détecter les activités suspectes ou les
attaques en cours. En cas d’anomalie, vous êtes averti, mais, entre-temps,
le système déclenche les actions programmées. Il peut prendre plusieurs
mesures :
Fermer les sessions - Il peut identifier le point d’entrée de l’activité
suspecte et empêcher celle-ci de progresser. Pour ce faire, il peut être
contraint de fermer la session TCP, de bloquer une adresse IP ou
d’appliquer une autre mesure similaire.
Système de Prévention d’intrusion (IPS)
Renforcer les pare-feux : Le système peut parfois identifier, dans le pare-
feu la faille qui a permis à l’attaquant de s’infiltrer. Une modification de la
configuration peut empêcher qu’un tel incident se reproduise à l’avenir.
Nettoyer : Le système peut analyser le serveur pour identifier du contenu
compromis ou malveillant et le supprimer.
Fonctionnant en temps réel, l’IPS inspecte chaque paquet circulant au sein
de l’espace protégé. Il peut appliquer des actions rapides et efficaces en
cas d’attaque. Par contre, même si un tel système peut vous protéger, il
peut aussi générer des faux positifs. Lorsque c’est le cas, le trafic peut
ralentir sans que cela soit justifié.
Système de Prévention d’intrusion (IPS)
À la fin d’une attaque et de son élimination, vous recevez un rapport de
l’incident et des mesures prises pour le résoudre. Vous pouvez utiliser
ces données pour renforcer votre système afin de vous prémunir contre
de nouvelles attaques.
Par ailleurs, vous pouvez passer en revue les mesures de protection
appliquées par le système et les annuler si vous estimez qu’elles ne
sont pas adéquates.
Faut-il opter pour un IDS ou un IPS ?
Les deux systèmes présente plusieurs points communs :
• Surveillance - Après la configuration, ces solutions peuvent examiner le trafic en fonction
des paramètres spécifiés, et le surveiller aussi longtemps que vous ne les désactivez pas.
• Alertes - Les deux programmes envoient une notification aux utilisateurs désignés en cas
de détection d’un problème.
•Apprentissage - Ils utilisent tous deux le machine learning pour comprendre les tendances
et les menaces émergentes.
•Journalisation - Ils consignent les attaques et les réponses afin que vous puissiez modifier
vos mesures de protection en conséquence.
Faut-il opter pour un IDS ou un IPS ?
Toutefois, ils présentent trois différences majeures :
• Réponse - Un IDS offre une protection passive, tandis que l’IPS est un système de
contrôle actif. Vous devez prendre les mesures requises après qu’un IDS vous avertit,
car rien n’a été fait pour bloquer l’attaque.
• Protection - On pourrait avancer l’argument qu’un IDS a une utilité moindre lorsqu’il
s’agit de contrecarrer une attaque. C’est à vous de déterminer les mesures à prendre,
où et quand il faut les appliquer, et comment réparer les dégâts. Un IPS, en revanche, le
fait pour vous.
• Faux positifs - Si un IDS génère une alerte qui se révèle injustifiée, vous êtes le seul
à en subir les conséquences. Si un IPS interrompt le trafic, de nombreuses personnes
risquent d’être affectées.
Bonnes pratiques
Mettre à jour régulièrement les signatures.
Tester les règles dans un environnement de test.
Associer IPS et autres mécanismes (pare-feu, antivirus, SIEM).
Surveiller les faux positifs et ajuster les seuils.
Activer des alertes et générer des rapports.
Débat & Analyse
Vous êtes consultants en sécurité, et une entreprise/un hôpital/un campus universitaire
souhaite renforcer la sécurité de son réseau. Elle vous demande :
Quel type d’IDS/IPS choisir, et quelle méthode de détection recommandez-vous ?
Scénarios proposés (Par groupes)
Scénario A : PME avec un site web
•1 serveur web, 1 serveur de mail.
•Activité : site e-commerce.
•Préoccupations : attaques web, injections SQL, tentatives de connexion SSH.
Scénario B : Campus universitaire
Réseau très vaste, Wi-Fi ouvert, laboratoires.
Beaucoup de trafic légitime mais chaotique.
Préoccupations : scans, attaques DoS, activité suspecte des étudiants.
18
Questions à débattre
• Quel type d’IDS recommandez-vous (HIDS, NIDS, Hybrid...) ? Pourquoi ?
• Préférez-vous une détection par signature, par anomalie ou une méthode
hybride ? Argumentez.
• Quels risques votre choix couvre-t-il bien ? Lesquels sont moins bien couverts ?
• Proposez un plan d’évolution : que faire si les attaques deviennent plus
complexes ?
19
Scénario A : PME avec un site web
➤ Type d’IDS recommandé :
• NIDS (Network-based IDS) pour surveiller les flux réseau vers les serveurs.
• Éventuellement un HIDS sur les serveurs critiques (web et mail) pour surveiller les
fichiers et logs système.
➤ Méthode de détection recommandée :
• Par signature : très adaptée ici car les menaces sont bien connues (injections
SQL, scans, brute-force SSH).
• Option hybride possible pour détecter des comportements anormaux non encore
connus (exp : utilisateur légitime qui change de comportement).
20
➤ Avantages :
• Faible taux de faux positifs avec les signatures bien définies.
• Facile à mettre en œuvre avec des règles comme celles de Snort ou Suricata.
• HIDS renforce la surveillance spécifique du serveur web.
➤ Limites :
• Moins efficace contre les attaques zero-day ou nouvelles méthodes
inconnues.
• Besoin de mise à jour constante des bases de signatures.
➤ Évolution suggérée :
• Ajouter une couche de détection par anomalie (machine learning léger ou analyse
heuristique).
• Intégrer un IPS si l'entreprise souhaite bloquer les attaques automatiquement.
21
Scénario B : Campus universitaire
➤ Type d’IDS recommandé :
• NIDS distribué (sur plusieurs segments du réseau).
• IDS centralisé pour analyser les journaux.
• Option hybride intéressante : IDS avec capacité de traitement décentralisée et
corrélation centralisée
➤ Méthode de détection recommandée :
• Par anomalie en priorité : grand nombre de faux positifs attendus avec la méthode par
signature (trafic légitime très variable).
• Méthode hybride pour inclure la détection de signatures connues (comme port
scanning, DoS…).
➤ Avantages :
• L’anomalie permet de repérer des comportements suspects même non référencés
(étudiants qui expérimentent, scans internes…). 22
➤ Évolution suggérée :
•Implémentation d’un SIEM (Security Information and Event Management) pour
corréler les alertes IDS avec les logs systèmes.
•Utilisation de systèmes d’apprentissage automatique pour affiner les profils
comportementaux.
Un SIEM est un système centralisé qui collecte, analyse et corrèle en temps réel les
journaux (logs) et les alertes de sécurité provenant de différentes sources d’un
réseau informatique.
Une attaque zero-day désigne une attaque qui exploite une vulnérabilité encore
inconnue du fabricant du logiciel ou du public. Cela signifie qu’il n’existe pas
encore de correctif ni de signature dans les bases antivirus/IDS.
Honeypots et honeynets : espionner les pirates : découvrir les techniques
défensives offensives -> Un honeypot est un système ou une application
volontairement vulnérable, conçue pour attirer et piéger les attaquants.
23