Analyse statistique des faux positifs et des faux négatifs issus d'un trafic réel avec des systèmes de détection/prévention d'intrusions

Les faux positifs et les faux négatifs se produisent dans tous les systèmes de détection et de prévention d'intrusions. Ce travail propose un mécanisme d'évaluation des faux positifs/négatifs avec plusieurs IDS/IPS pour collecter des cas de FP et de FN à partir de trafic réel et analyser statistiquement ces cas. Sur une période de 16 mois, plus de 2000 FP et FN ont été collectés et analysés. À partir des résultats de l'analyse statistique, nous obtenons trois constats intéressants. Tout d'abord, plus de 92,85 % des cas faux sont des FP même si les nombres de types d'attaques pour FP et FN sont similaires. Cela est principalement dû au comportement des applications ou au format du contenu de l'application qui est autodéfini ; c'est-à-dire qu'il n'y a pas une conformité totale aux spécifications des RFC. En conséquence, lorsque cette application rencontre un IDS/IPS avec des règles de détection strictes, son trafic sera considéré comme un trafic malveillant, entraînant de nombreux FP. Deuxièmement, environ 91 % des alertes FP, soit environ 85 % des cas faux, ne sont pas liées aux problèmes de sécurité, mais à des politiques de gestion. Par exemple, certaines entreprises et campus limitent ou interdisent à leurs employés et étudiants d'utiliser des applications peer-to-peer ; par conséquent, pour détecter facilement le trafic P2P, un IDS/IPS est configuré pour y être sensible. Ainsi, cela provoque des alertes qui se déclenchent facilement, peu importe si l'application P2P a un trafic malveillant ou non. Le dernier constat révèle que les débordements de tampon, les attaques de serveurs SQL et les attaques de ver slammer représentent 93 % des FN, même si ce sont d'anciennes attaques. Cela indique que ces attaques ont toujours de nouvelles variations pour échapper à la détection des IDS/IPS.