IPS : Système de prévention d'intrusion

Ceci est une ancienne révision du document !

Un système de prévention d'intrusion (ou IPS, Intrusion Prevention System) est un outil des spécialistes en sécurité des systèmes d'information, similaire aux IDS, sauf que ce système peut prendre des mesures afin de diminuer les risques d'impact d'une attaque. C'est un IDS actif, il détecte un balayage automatisé, l'IPS peut bloquer les ports automatiquement. ( wikipedia )

Un ips rentre aujourd'hui dans la nouvelle définition des pare-feux.

Le mise en place de Snort en tant qu'ips doit se faire avec réflexion et analyse des impactes de tel ou tel type de règles.

La machine faisant firewall devra avoir 2 cartes réseaux, et avoir suffisamment de mémoire RAM.

Source : emergingthreats.net

Snort Inline - solution officielle, désormais intégrée dans snort : compiler avec l'option –enable-inline
En conjonction de snort :
- fwsnort - (installer)
- Guardian - Active Response for Snort (site)
- SnortSam (site)
- Snort2c (site) ¹⁾
- Snort2pf (site)
- Barnyard : Barnyard permet de prendre en charge l’inscription des événements en base de données et libère donc des resources à Snort qui peut davantage se concentrer sur la détection des intrusions.
hlbr
Suricata

psad (installer) - Détection de scannage de port
fail2ban (installer) - blocage d'ip suite à des tentives de connections à des services sur une machine ( possiblement une attaque brute force ).
bastille (installer) : Outil de renforcement de la sécurité système, en mode interractif.