Intrusion prevention system (IPS) face à l'IDS et au pare-feu

Un intrusion prevention system (IPS) est placé en coupure sur le réseau. Il analyse les paquets en temps réel, les compare à des signatures et à des comportements suspects, puis bloque ceux qui ressemblent à une attaque. Un IDS se contente d'alerter. Un pare-feu décide selon l'IP et le port, pas selon le contenu.

Nous commençons par situer l'IPS par rapport à l'IDS et au pare-feu, puis nous listons les attaques qu'il arrête. Viennent ensuite la comparaison entre Suricata et Snort, l'activation pas à pas sur pfSense ou OPNsense, et pour finir la raison pour laquelle l'IPS ne remplace pas un Anti-DDoS réseau.

En bref

• Un IPS bloque le trafic malveillant en direct, là où un IDS le signale seulement.
• Il lit le contenu des paquets, ce que ne fait pas un pare-feu à états.
• Suricata est le choix par défaut sur pfSense et OPNsense.
• Il faut démarrer en mode alerte, désactiver les offloads et dimensionner le CPU avant de passer en blocage.
• Un IPS n'arrête pas une attaque DDoS volumétrique : cela relève de l'Anti-DDoS en amont.

Qu'est-ce qu'un IPS (intrusion prevention system) ?

Le guide NIST SP 800-94, publié en 2007, parle d'IDPS (intrusion detection and prevention systems). Dans cette logique, un IPS fait tout ce que fait un IDS, et tente en plus d'arrêter l'incident détecté. Le document a vieilli, mais son vocabulaire reste la référence. Avant de le citer dans un dossier de conformité, vérifiez son statut de révision sur le site du NIST.

Deux méthodes de détection coexistent. La première repose sur des signatures : des règles décrivant un motif connu, comme une chaîne dans une requête HTTP ou la séquence d'exploitation d'une CVE. La seconde cherche des anomalies : un volume de connexions inhabituel, un protocole détourné, un comportement qui s'écarte de la normale. Les signatures sont précises mais aveugles à l'inconnu. L'approche comportementale couvre plus large, au prix de davantage de faux positifs.

Trois termes reviennent partout. Une règle contient la signature et l'action associée. Un faux positif est un trafic légitime pris pour une attaque. L'action, elle, peut être alert (journaliser), drop (jeter le paquet) ou reject (jeter et prévenir l'émetteur).

Comprendre : NIPS ou HIPS ? Un NIPS (réseau) surveille le trafic qui traverse une machine ou un équipement dédié, comme un routeur pfSense. Un HIPS (hôte) tourne sur le serveur lui-même et surveille ses fichiers, processus et connexions. Cet article traite du NIPS.

Mode inline : pourquoi l'IPS bloque et pas l'IDS

Un IDS reçoit une copie du trafic (port miroir, mode passif). Il voit tout mais ne peut rien arrêter : quand l'alerte tombe, le paquet malveillant est déjà arrivé. L'IPS est inline. Tout le trafic le traverse, donc il peut rejeter un paquet avant qu'il atteigne sa cible.

Le revers est direct. Si l'IPS tombe en panne, le trafic légitime s'arrête aussi. Si une règle se trompe, vous bloquez vos propres utilisateurs. Et chaque paquet inspecté coûte un peu de latence et de CPU.

IPS, IDS et pare-feu : quelles différences ?

Un pare-feu à états suit les connexions et décide selon l'adresse IP, le port et le protocole. Il autorise le port 443 vers votre serveur web, mais ne sait pas si la requête qui passe contient une injection SQL. C'est à ce niveau que l'IPS prend le relais.

Critère	Pare-feu à états	IDS	IPS
Position	En coupure	Sur une copie du trafic	En coupure
Ce qui est analysé	En-têtes IP, ports, état de la connexion	Contenu applicatif et payload	Contenu applicatif et payload
Action	Filtrer (autoriser ou refuser)	Alerter	Bloquer, alerter
Risque principal	Règles trop ouvertes	Alerte ignorée, aucune protection	Faux positif qui coupe du trafic légitime
Exemple d'outil	pf, nftables	Suricata ou Snort en mode passif	Suricata ou Snort en mode inline

Les trois se complètent, et pfSense comme OPNsense réunissent pare-feu et IPS sur une même machine. Pour l'équivalent côté hôte, vous pouvez configurer un pare-feu UFW sur un VPS Linux.

Quelles attaques un IPS bloque-t-il concrètement ?

Avec un jeu de règles à jour, un IPS sait arrêter :

• l'exploitation de vulnérabilités connues (CVE) sur un service exposé, par exemple un serveur web ou une application non patchée ;
• les injections SQL et XSS dans du trafic HTTP non chiffré ;
• les scans de ports et de vulnérabilités ;
• le brute force SSH ou RDP, via un seuil de tentatives par IP (pour RDP, voyez aussi comment sécuriser RDP sur un VPS Windows) ;
• les communications vers des serveurs de commande et contrôle (C2) de malwares ou de botnets ;
• les IP présentes sur des listes de réputation ;
• les protocoles non autorisés sur un segment donné.

Ses limites sont réelles. Sur du trafic chiffré en TLS, l'IPS ne voit que des métadonnées, comme le SNI ou les empreintes JA3 (et JA4 dans les versions récentes de Suricata), sauf si vous déchiffrez le flux. Une attaque zero-day n'a pas encore de signature. Quant aux DDoS volumétriques, nous y revenons plus bas.

Suricata ou Snort : lequel choisir sur pfSense ou OPNsense ?

Suricata est multi-thread, détecte automatiquement les protocoles applicatifs et produit des journaux EVE JSON, faciles à exploiter dans un outil de supervision. Il est intégré à OPNsense (menu Services > Intrusion Detection) et disponible en paquet sur pfSense.

Snort est le moteur historique. Sa version 3 est multi-thread, alors que la branche 2.x ne l'était pas. Il existe en paquet sur pfSense, mais OPNsense ne le propose pas. Avant de vous décider, regardez quelle branche installe le paquet pfSense de votre version.

Côté règles, ET Open (Emerging Threats) est gratuit et fonctionne avec Suricata. Snort propose les jeux Community, Registered (gratuit sur inscription, publié avec un retard par rapport au jeu Subscriber, historiquement de 30 jours) et Subscriber (payant).

Notre avis : Suricata dans la grande majorité des cas, et sans alternative sur OPNsense. Snort garde son intérêt si vous avez déjà des règles et des habitudes Snort sur pfSense.

Comment installer Suricata sur pfSense ou OPNsense

Sur OPNsense

1. Ouvrez Services > Intrusion Detection > Administration et cochez l'activation.
2. Choisissez l'interface WAN, puis le pattern matcher : Hyperscan si votre processeur le supporte, sinon la valeur par défaut.
3. Dans l'onglet de téléchargement, activez le jeu ET Open et lancez la mise à jour des règles.
4. Laissez le mode IPS décoché au départ. Vous êtes alors en IDS : les alertes sont journalisées, rien n'est bloqué.
5. Planifiez la mise à jour automatique des règles, puis activez le mode IPS une fois les alertes analysées.

Sur pfSense

1. Installez le paquet via System > Package Manager, puis ouvrez Services > Suricata.
2. Activez le téléchargement d'ET Open dans les réglages globaux et mettez les règles à jour.
3. Ajoutez l'interface WAN et choisissez les catégories de règles.
4. Gardez d'abord l'alerte seule. Pour bloquer, choisissez le mode Inline (netmap) ou le blocage Legacy, qui bloque l'IP source des alertes.

Les intitulés changent d'une version à l'autre : confirmez-les dans la documentation de votre release.

Précautions sur un VPS KVM : offloading, faux positifs, ressources

• Désactivez les offloads matériels (checksum, TSO, LRO) avant le mode inline. La documentation OPNsense le recommande, et pfSense propose les mêmes cases dans ses réglages réseau avancés.
• Testez netmap avec vos interfaces virtio (vtnet). Le support dépend de la version et du comportement du pilote : validez sur une instance de test, et repliez-vous sur le mode legacy de pfSense si besoin.
• Observez une à deux semaines en mode alerte, puis passez en drop les règles dont les alertes sont fiables.
• Protégez vos propres accès avec une liste de passage (pass list) contenant vos IP d'administration. Sans elle, un faux positif peut vous enfermer dehors.
• Dimensionnez large : l'inspection consomme du CPU et de la RAM, surtout avec beaucoup de règles actives. Des vCPU garantis, sans sur-allocation, évitent que la latence varie selon le voisin. Un VPS Linux KVM aux ressources garanties suit la même logique pour vos serveurs applicatifs derrière le pare-feu.

Un IPS remplace-t-il une protection Anti-DDoS réseau ?

Non. Une attaque volumétrique de plusieurs Gbit/s sature le lien avant même d'atteindre l'IPS, qui devient alors lui-même le goulet d'étranglement. L'Anti-DDoS filtre en amont, sur le réseau de l'hébergeur ; l'IPS traite les menaces applicatives ciblées. Pour approfondir, lisez notre guide pour sécuriser son VPS contre les attaques DDoS.

La bonne architecture se construit en couches :

1. Anti-DDoS réseau, en amont ;
2. pare-feu pfSense ou OPNsense ;
3. IPS Suricata ;
4. durcissement de l'hôte (SSH, mises à jour, pare-feu local).

L'offre VPS pfSense & OPNsense - Firewall & VPN self-hosted en France répond à ce schéma : Anti-DDoS 1 Tbit/s inclus, hébergement au datacenter Telehouse Paris, virtualisation KVM sans sur-allocation. Les offres sont en pré-commande, avec une disponibilité annoncée au 1er novembre 2026.

Questions fréquentes

Quelle est la différence entre un IDS et un IPS ?

Un IDS analyse une copie du trafic et génère des alertes, sans pouvoir intervenir. Un IPS est placé en coupure et peut bloquer les paquets malveillants avant qu'ils atteignent leur cible. Le même moteur, Suricata par exemple, peut jouer les deux rôles selon son mode.

Un IPS ralentit-il le réseau ?

Oui, légèrement : chaque paquet est inspecté, ce qui ajoute de la latence et consomme du CPU. L'effet dépend du nombre de règles actives et de la puissance disponible. Sur une instance bien dimensionnée, il reste modéré.

Suricata est-il gratuit ?

Oui, Suricata est un logiciel libre, et le jeu de règles ET Open est lui aussi gratuit. Des jeux de règles payants existent, mais vous n'en avez pas besoin pour démarrer.

Peut-on utiliser Suricata et Snort en même temps sur pfSense ?

Les deux paquets existent sur pfSense, mais les faire tourner sur la même interface double la charge et les alertes, sans gain réel. Choisissez un seul moteur par interface.

Un IPS peut-il analyser le trafic HTTPS chiffré ?

Pas le contenu, sauf déchiffrement du flux, qui demande une configuration dédiée. Sans cela, il exploite des métadonnées comme le SNI ou les empreintes JA3. Ces indices suffisent à repérer certains outils malveillants, mais pas une injection SQL cachée dans une requête chiffrée.

Faut-il un IPS sur un VPS ou un pare-feu suffit-il ?

Un pare-feu suffit pour des services peu exposés, avec des mises à jour régulières. L'IPS devient pertinent dès que vous exposez des applications web, que plusieurs machines se trouvent derrière un routeur, ou que vous voulez détecter du trafic C2. Il complète le pare-feu, il ne le remplace pas.

Où déployer son pare-feu avec IPS ?

Commencez par une instance de test : installez Suricata en mode alerte, laissez-le tourner une semaine et lisez les journaux avant de bloquer quoi que ce soit. Au moment de passer en production, prenez une instance aux vCPU garantis, placée derrière un Anti-DDoS réseau, puisque l'IPS n'arrête pas les attaques volumétriques.

C'est ce que propose VPS pfSense & OPNsense - Firewall & VPN self-hosted en France : Anti-DDoS 1 Tbit/s inclus sans surcoût, hébergement à Telehouse Paris conforme au RGPD, support humain 24/7. Les offres sont en pré-commande, avec une disponibilité annoncée au 1er novembre 2026.