next up previous contents
Next: La remontée d'alertes Up: Prelude-IDS et Snort Previous: Projet   Contents

Moteur d'analyse et banque de signatures

Les deux font des analyses par recherche de similitudes avec un scénario préalablement définis. Le mode de fonctionnement est alors similaire. Autant pour Prelude-IDS que pour Snort, les solutions sont stables.


Prelude-IDS a un soucis de suivi des standards (pour pouvoir utiliser les signatures de d'autres moteurs, échange des messages en XML, IDMEF).


Notons que même en intégrant les alertes de Snort, Prelude-IDS relève une quantité plus importante d'alertes. En regroupant les alertes de même type, nous nous retrouvons alors avec aproximativement le même nombre d'alertes (Prelude ayant ses propres règles, il est normal qu'il en trouve un peu plus que Snort). Prelude-NIDS archive aussi les payloads. Mais malheureusement, la fusion des payloads (ou des alertes) n'est pas plus présente dans Prelude-IDS que dans Snort.


Prelude-IDS a l'avantage d'être très modulaire de par son architecture client-serveur. Un manager peut gérer plusieurs sondes, et une sonde peut envoyer ses alertes à plusieurs managers. Le filtrage au niveau de la sonde pour savoir à quel manager est envoyée telle alerte ou telle autre, n'est pas encore opérationnel. Mais nous avons envoyé un email sur la mailing list du projet, qui a semblé susciter de l'intérêt pour cette fonctionnalité. Peut-être qu'elle sera donc prochainement implémentée.


next up previous contents
Next: La remontée d'alertes Up: Prelude-IDS et Snort Previous: Projet   Contents
Lehmann Guillaume 2003-04-13