Infosecurity Europe 2008, le plus grand salon européen sur la sécurité des systèmes d'information

L'analyse comportementale du réseau illustrée par trois témoignages

L'éditeur Lancope présente une solution d'analyse de comportement du réseau ou NBA (Network Behavior Analysis), StealthWatch. Trois de ses clients responsables de grands réseaux, témoignent.

... 8000 sur le réseau des étudiants. Le réseau doit tourner en permanence, et « les étudiants se vivent de plus en plus comme des clients, qui veulent obtenir le meilleur service pour le prix qu'ils paient, détaille Paul Kennedy. Le périmètre du réseau est de plus en plus poreux. Les étudiants comme les chercheurs veulent accéder au système d'information même en étant hors du campus. Et les équipements les plus divers se connectent au réseau : équipements de conférence, terminaux sans-fil, grille de calcul à haute performance, les équipements de laboratoire, ...

Des centaines de PC contaminés
La semaine de la rentrée, ce sont 8000 PC portables appartenant aux étudiants qui veulent se connecter. Des centaines de ces PC sont contaminés. Améliorer la périphérie, durcir la protection des PC (en réunissant l'antivirus, anti spyware, et HIPS, ainsi que le NAC) sont une solution. Mais il faut également analyser le comportement du réseau. « Nous avons comparé une solution de type NIDS (Network Intrusion Detection System) et NBA. Le NIDS s'est avéré inapproprié. Il générait un million d'événements par jour. Le NBA, en revanche, capturait les paquets, et donne une visibilité complète, en instantanée des menaces sur la sécurité et aussi sur les bizarreries, on va plus vite, se réjouit Paul Kennedy.

Quatre à cinq semaines afin d'étalonner l'outil
Le témoignage de Mark Pleunes, ingénieur réseau, de l'institut de graphisme de Rotterdam, va dans le même sens. Il précise : « Il nous a fallu 4 à 5 semaines de travail intensif afin d'étalonner la plate-forme de surveillance de notre infrastructure d'origine Foundry Networks à très haut débit (dépassant le gigabit Ethernet par seconde). Il s'agissait d'établir ce qui relevait d'un comportement normal du réseau». En outre, il a mis en place une automatisation des réactions lorsqu'un comportement anormal d'une machine est détectée sur le réseau. « On coupe automatiquement les flux issus d'une machine dont le trafic est jugé anormal, affirme-t-il. Une attitude que n'ont pas adoptée ses deux collègues.

. Web-profils.com, la place de marché du conseil et de l'ingénierie