Honeypot, proxy, IDS et IPS

Définition

Ces équipements complètent le pare-feu en observant ou en piégeant les attaquants. Le honeypot attire les attaques dans un piège, le proxy filtre les accès vers Internet, l'IDS surveille le trafic et l'IPS le bloque. Chacun joue un rôle distinct dans la défense du réseau.

Honeypot

Un honeypot est un système volontairement vulnérable, sans usage légitime, placé pour attirer les attaquants. Tout trafic vers lui est suspect par définition. Il collecte des informations sur les techniques utilisées et détourne l'attention des systèmes réels. Un honeypot bien configuré n'expose aucune donnée réelle.

Exemple concret : une entreprise place un serveur factice nommé sauvegarde-serveur dans sa DMZ. Les journaux montrent des tentatives de connexion SSH depuis trois pays en une semaine. L'équipe utilise ces adresses IP pour renforcer les règles du pare-feu.

Proxy

Un proxy agit comme intermédiaire entre les clients et les serveurs. Le proxy direct (forward proxy) reçoit les requêtes des postes internes et les transmet à Internet : il met en cache les contenus fréquents, filtre les sites et masque les adresses internes. Le proxy inverse (reverse proxy) se place devant un serveur web : il répartit la charge, termine le chiffrement TLS et protège le serveur d'application. Les deux gardent une trace de toutes les requêtes.

IDS et IPS

L'IDS (Intrusion Detection System) observe le trafic en copie et signale les comportements suspects. Il ne bloque rien, il alerte. L'IPS (Intrusion Prevention System) est placé dans le flux et coupe les connexions malveillantes en temps réel. La détection repose sur des signatures, comparaison à des motifs d'attaque connus, ou sur l'analyse comportementale, qui repère les écarts par rapport à une base de référence. L'IDS s'installe souvent hors bande sur une copie du trafic (port mirroring), l'IPS en série dans le chemin des données.