Visitez notre kiosque à CANSEC les 27-28 mai
Face aux limitations des systèmes de détection d'intrusion traditionnels, les chercheurs de l'Université de Franche-Comté ont développé le SOCBox, un centre opérationnel de sécurité innovant capable de détecter des attaques coordonnées que les IDS classiques ne peuvent identifier.
Le SOCBox se distingue par sa capacité à collecter et analyser des données provenant de sources hétérogènes: pare-feu, routeurs, serveurs, postes de travail et autres systèmes de détection. Cette approche holistique lui confère une vue globale de la sécurité du réseau, permettant de corréler les événements et de détecter des schémas d'intrusion complexes.
L'architecture repose sur quatre piliers: une base de connaissances (vulnérabilités, politiques de sécurité, statut des systèmes), des agents de collecte de données modulaires, un moteur de corrélation sophistiqué utilisant des "contextes" pour analyser les séquences d'événements, et un système de reporting avancé.
Le système a été évalué en conditions réelles sur un réseau de fournisseur d'accès Internet gérant plus de 50 000 abonnés. Les résultats sont probants: le SOCBox détecte avec succès les attaques distribuées, les tentatives de force brute, les scans de ports, et même les comportements anormaux définis par les administrateurs. Lors d'attaques massives par flooding, il continue de détecter les intrusions alors que Snort, utilisé comme référence, sature.
La comparaison de performance révèle que le SOCBox utilise significativement moins de ressources que Snort tout en générant des alertes plus pertinentes. Là où Snort produit 100 000 alertes pour 100 000 pings, le SOCBox en génère environ 100 en fusionnant les événements similaires. Cette capacité de compactage d'alertes facilite considérablement le travail des administrateurs de sécurité.
Un atout majeur du SOCBox est sa capacité à ignorer les tentatives d'intrusion vouées à l'échec grâce à sa connaissance de l'état réel des systèmes. Une attaque web contre un serveur DNS qui n'exécute pas de serveur web sera automatiquement filtrée, réduisant le bruit et permettant aux équipes de se concentrer sur les menaces réelles.
