Analyse comportementale réseau (NDR) : comment repérer un pirate qui est déjà dans vos murs ?

Imaginez un instant que le cambriolage a déjà eu lieu. L’intrus n’est pas en train de forcer la porte ; il est déjà à l’intérieur, portant l’uniforme d’un employé, se servant un café et utilisant un badge d’accès légitime. Il connaît les lieux, les habitudes, et se fond dans la masse. C’est précisément le scénario auquel les équipes de sécurité sont confrontées aujourd’hui. Les défenses traditionnelles, comme les firewalls et les antivirus, sont conçues pour garder la porte d’entrée (le trafic Nord-Sud). Elles sont excellentes pour bloquer les menaces connues qui tentent de pénétrer, mais elles sont presque totalement aveugles à ce qui se passe une fois qu’un adversaire a franchi ce périmètre.

Le postulat de départ a changé. Il ne s’agit plus de se demander *si* un attaquant entrera, mais de partir du principe qu’il est *déjà là*. Face à cette réalité, l’approche du gardien de forteresse ne suffit plus. Il faut endosser le rôle du détective, celui qui enquête sur une scène de crime active et discrète : votre propre réseau. C’est là que l’analyse comportementale réseau, ou Network Detection and Response (NDR), entre en jeu. Elle ne se contente pas de chercher des signatures de logiciels malveillants, elle effectue une véritable filature numérique en apprenant le « bruit de fond » normal de votre infrastructure pour y déceler les signaux faibles, les micro-déviations qui trahissent la présence d’un intrus.

Cet article n’est pas une simple liste de fonctionnalités. C’est une plongée dans la mentalité de l’analyste SOC. Nous allons décortiquer les techniques de dissimulation des attaquants et les méthodes d’investigation que le NDR met à votre disposition pour les démasquer. Nous verrons comment lire entre les lignes du trafic chiffré, repérer les fuites de données les plus subtiles et comprendre pourquoi la surveillance des communications internes est devenue la clé de voûte de la cybersécurité moderne.

Pour mener cette enquête, nous allons suivre une progression logique, en examinant chaque indice et chaque technique d’investigation. Ce guide est structuré pour vous transformer, pas à pas, de simple administrateur réseau en véritable profiler de menaces.

Pourquoi l’antivirus réseau ne voit pas les attaques « Living off the Land » ?

L’angle mort le plus dangereux de la sécurité périmétrique réside dans une technique d’une simplicité redoutable : le « Living off the Land » (LotL). L’attaquant n’introduit pas de nouvel outil malveillant, il utilise ceux qui sont déjà présents et approuvés sur vos systèmes. Pensez à PowerShell, WMI (Windows Management Instrumentation) ou PsExec. Pour un antivirus basé sur les signatures, ces outils sont légitimes. Il n’y a aucune alerte à déclencher. L’intrus est un fantôme qui utilise le mobilier de la maison pour se déplacer. Des données de télémétrie récentes confirment que plus de 71% des attaques LotL exploitent PowerShell, un outil d’administration standard.

L’échec de la supervision traditionnelle face à cette menace n’est pas théorique. Un cas récent en France est édifiant : un groupe d’attaquants étatiques est resté actif pendant près de deux ans au sein du système d’information d’un opérateur télécom majeur. Comme le souligne un rapport d’audit, l’absence de supervision centralisée et comportementale a permis à la compromission, initiée dès fin 2022, de passer totalement inaperçue. Seul un audit externe a finalement révélé l’ampleur de l’intrusion. C’est la démonstration parfaite qu’une fois la muraille franchie, un attaquant discret peut s’installer durablement si personne ne surveille les comportements internes.

Comment analyser le trafic HTTPS sans casser la confidentialité des données ?

Le chiffrement est une bénédiction pour la confidentialité, mais un véritable casse-tête pour l’analyste. Si plus de 95% du trafic web est aujourd’hui chiffré, comment y déceler une activité malveillante sans recourir à des méthodes de déchiffrement (SSL Inspection/MITM) lourdes, coûteuses et qui posent d’énormes problèmes de vie privée ? La réponse du détective réseau est simple : on n’analyse pas le contenu de la lettre, mais l’enveloppe, le timbre et l’écriture de l’expéditeur. C’est l’essence même de l’analyse des métadonnées du trafic.

Plutôt que de casser le chiffrement, une solution NDR va analyser des centaines d’artefacts non chiffrés : la taille et la fréquence des paquets, les informations de la session TLS/SSL (comme l’empreinte JA3/JA3S qui caractérise le client et le serveur), les requêtes DNS qui la précèdent, la destination de l’IP, la réputation du domaine, etc. En agrégeant ces « signaux faibles », l’outil dresse un profil comportemental. Un flux de données chiffrées vers un serveur inconnu en Russie, par paquets de taille fixe à intervalle régulier, est un indice d’exfiltration bien plus parlant qu’une simple alerte sur un fichier.

Cette approche est au cœur de la philosophie NDR. Comme le formule WatchGuard Technologies dans sa documentation, la mission est d’abord d’établir une base de référence du comportement normal du réseau. C’est seulement ensuite qu’il devient possible de repérer les déviations significatives.

La NDR établit une base de comportement réseau normal et détecte les déviations telles que le mouvement latéral, le trafic command-and-control (C2), l’exfiltration de données et le tunneling dissimulé.

– WatchGuard Technologies, Documentation officielle NDR

DNS Tunneling : repérer les fuites de données lentes et discrètes

Si le mouvement latéral est la technique de l’attaquant pour se déplacer, le DNS tunneling est souvent son moyen de communiquer avec l’extérieur et d’exfiltrer des données. C’est une méthode d’une discrétion redoutable. Le protocole DNS est quasiment toujours autorisé à sortir du réseau, et son trafic est rarement inspecté avec la même rigueur que le trafic web. L’attaquant en profite pour cacher des données ou des commandes dans des requêtes DNS qui paraissent légitimes. Il s’agit d’une fuite au goutte-à-goutte, invisible pour les systèmes de prévention de perte de données (DLP) classiques qui cherchent de gros transferts de fichiers.

Face à ce type de menace, l’analyse comportementale est la seule parade. Un outil NDR ne va pas se contenter de valider la syntaxe de la requête. Il va analyser des schémas : une augmentation soudaine du volume de requêtes DNS depuis un seul poste, l’apparition de requêtes vers des domaines inconnus ou générés algorithmiquement (DGA), des longueurs de sous-domaines anormalement élevées (qui contiennent les données encodées), ou l’utilisation de types d’enregistrements rares comme TXT ou CNAME pour l’exfiltration. En France, où la CNIL a recensé près de 5 629 violations de données notifiées en 2024, soit une hausse de 20%, la détection de ces canaux de fuite discrets est un enjeu critique.

L’ANSSI, dans ses guides d’architecture, ne cesse de marteler l’importance de cette surveillance. Elle souligne que les journaux des serveurs DNS sont une source d’information vitale qui doit impérativement alimenter les systèmes de supervision de sécurité (SIEM, NDR). C’est la corrélation de ces événements, apparemment anodins, qui permet de reconstituer le puzzle et de mettre en lumière une activité malveillante utilisant les flux DNS comme canal de communication secret.

L’erreur de ne pas monitorer le trafic Est-Ouest (interne) entre vos serveurs

L’erreur la plus commune en matière de sécurité réseau est de concentrer 90% des efforts sur la frontière (le trafic Nord-Sud, entrant et sortant) et de laisser les communications internes (le trafic Est-Ouest) dans un angle mort quasi total. C’est comme installer une porte blindée à l’entrée d’un immeuble tout en laissant toutes les portes des appartements ouvertes. Une fois la première brèche réussie, l’attaquant peut se déplacer latéralement d’un serveur à l’autre, d’un poste de travail à une base de données, sans jamais déclencher d’alerte périmétrique. C’est dans ce trafic interne que se déroulent la reconnaissance, l’escalade de privilèges et la préparation de l’attaque finale.

Ignorer ce trafic est une erreur coûteuse. En France, selon le rapport IBM/Ponemon Institute, le coût moyen d’une violation de données atteint 3,85 millions d’euros en 2024. Une grande partie de ce coût est directement liée au « dwell time », le temps que l’attaquant passe inaperçu dans le réseau. Plus il reste longtemps, plus il peut causer de dégâts. La surveillance du trafic Est-Ouest est le moyen le plus efficace de réduire drastiquement ce temps de séjour.

L’impact de l’adoption d’outils de détection avancés, comme le NDR, sur ce facteur temps est quantifiable. L’automatisation et l’IA permettent de corréler des milliards d’événements pour repérer les schémas anormaux quasi instantanément, là où un humain mettrait des semaines. Le tableau suivant, basé sur les données du rapport IBM, illustre cette différence de manière frappante.

Ces chiffres parlent d’eux-mêmes. L’investissement dans la visibilité interne n’est pas une dépense, c’est une assurance contre des pertes potentiellement catastrophiques.

Quand le trafic dévie de la normale : définir le « bruit de fond » de l’entreprise

La puissance de l’analyse comportementale ne réside pas dans une base de données de menaces, mais dans sa capacité à apprendre et à comprendre ce qui est « normal » pour *votre* réseau. Chaque organisation a une signature de trafic unique, un « bruit de fond » opérationnel. Le serveur de paie communique avec la base de données RH tous les jours à 17h, les développeurs se connectent en RDP sur les serveurs de pré-production, le service marketing envoie de gros volumes de données vers des services cloud de mailing. Tout cela, c’est le rythme cardiaque de l’entreprise.

Le premier travail d’une solution NDR est une longue phase d’écoute et d’apprentissage (Machine Learning) pour modéliser cette normalité. Elle cartographie qui parle à qui, avec quel protocole, à quelle fréquence, et avec quel volume de données. Cette « baseline » comportementale devient la référence absolue pour toute investigation future. Une fois ce modèle établi, la détection devient une simple question de déviation. Pourquoi le serveur de paie essaie-t-il soudainement de contacter un serveur web externe à 3h du matin ? Pourquoi le poste d’un commercial initie-t-il une connexion RDP vers le contrôleur de domaine ?

Ce n’est plus une recherche d’aiguille dans une botte de foin, mais la détection d’une note dissonante dans une symphonie que l’on connaît par cœur. C’est ce principe que résume parfaitement LeMagIT dans son analyse de la technologie.

Un produit de NDR apprend les flux de trafic attendus sur le réseau d’une organisation. L’outil peut ensuite repérer des comportements anormaux, se demandant essentiellement : ‘ce trafic ressemble-t-il au trafic normal ?’

– LeMagIT, Guide technique NDR

Pourquoi placer votre sonde IDS derrière le firewall change tout à la détection ?

Le positionnement de votre sonde de détection (qu’elle soit IDS ou NDR) est une décision d’architecture aussi cruciale que le choix de l’outil lui-même. Une erreur fréquente est de la placer en amont du firewall, sur le lien Internet brut. L’intention est louable : tout voir. Le résultat est un désastre : la sonde est submergée par un bruit incessant d’attaques de bas niveau, de scans de ports et de tentatives de connexion automatisées que le firewall aurait de toute façon bloquées. C’est l’équivalent de placer un détective à l’entrée d’une gare en heure de pointe et lui demander de repérer un pickpocket : il sera noyé sous une marée d’informations inutiles.

La bonne pratique, adoptée par les analystes expérimentés, est de placer la sonde juste derrière le firewall. Ainsi, elle n’analyse que le trafic qui a réussi à passer le premier niveau de filtrage. C’est le trafic « intéressant », celui qui a potentiellement contourné les défenses primaires. Mais la stratégie ne s’arrête pas là. Le déploiement le plus efficace consiste à placer des sondes à des jonctions stratégiques internes : entre la zone utilisateurs et la zone serveurs, entre la DMZ et le réseau interne, ou même entre différents VLANs de production. Cela permet de se concentrer sur la surveillance du fameux trafic Est-Ouest et de détecter les mouvements latéraux.

Cette collecte ciblée est une recommandation forte de l’ANSSI pour les environnements sensibles. Il ne s’agit pas de tout collecter, mais d’identifier et d’activer les sources d’événements (logs, flux réseau) réellement utiles aux activités de détection, en fonction de l’architecture du SI et de l’évolution des menaces. C’est une surveillance intelligente, pas une collecte à l’aveugle.

Comment programmer des rondes aléatoires intelligentes ?

Le NDR ne se résume pas à une attente passive d’alertes. Il est aussi un outil formidable pour le « Threat Hunting », que l’on peut traduire par des « rondes d’investigation proactives ». Plutôt que d’attendre que le système signale une anomalie critique, l’analyste utilise la visibilité offerte par le NDR pour poser des hypothèses et chercher activement des traces de compromission. Le « Dwell time » médian, c’est-à-dire le temps pendant lequel un attaquant reste non détecté, peut atteindre plusieurs jours, voire des semaines. Pendant ce temps, il collecte patiemment des informations. Une ronde proactive peut court-circuiter ce processus.

Une ronde intelligente n’est pas une recherche au hasard. Elle s’appuie sur une méthodologie et des hypothèses. Par exemple, l’analyste peut décider de « chasser » une technique spécifique du framework MITRE ATT&CK. Voici comment cela peut se dérouler concrètement :

• Hypothèse : « Je suspecte qu’un attaquant pourrait tenter d’utiliser WMI pour se déplacer latéralement (Technique T1047). »
• Investigation : L’analyste utilise l’interface du NDR pour visualiser toutes les connexions utilisant le port de WMI (135) sur le réseau interne au cours des dernières 24 heures.
• Filtrage et analyse : Il filtre pour exclure les communications normales et connues (ex: depuis le serveur de supervision). Il se concentre sur les connexions inhabituelles : un poste du service comptabilité qui interroge en WMI un serveur du datacenter, ou une série de connexions rapides depuis une machine vers plusieurs autres.
• Corrélation : Il examine ce qu’a fait cette machine juste avant et juste après ces connexions WMI. A-t-elle téléchargé un fichier depuis un site suspect ? A-t-elle reçu une connexion RDP d’une source inconnue ?

Cette démarche transforme l’analyste en chasseur. Il ne subit plus les alertes, il les devance. Pour cela, une compréhension claire du réseau est indispensable, de sa topologie (on-premise, cloud) à sa segmentation, afin de savoir où chercher les indices les plus pertinents.

IDS ou IPS : faut-il juste alerter ou bloquer automatiquement le trafic suspect ?

La question finale pour tout ingénieur réseau est celle de la réponse. Une fois une menace détectée, faut-il simplement lever une alerte (IDS – Intrusion Detection System) ou bloquer automatiquement le trafic (IPS – Intrusion Prevention System) ? Le choix est cornélien. L’IDS, en se contentant d’alerter, évite le risque catastrophique d’un faux positif qui pourrait paralyser une application critique. En revanche, il repose sur une intervention humaine qui peut être lente, surtout en pleine nuit.

L’IPS, lui, offre une réponse immédiate et automatisée. C’est séduisant, mais extrêmement risqué. Dans des environnements sensibles, comme un hôpital ou un site industriel, un blocage inapproprié peut avoir des conséquences bien plus graves que l’attaque elle-même. Les attaques par rançongiciel qui ont touché des institutions comme le Grand Palais ou l’Université Paris-Saclay en France montrent bien que la continuité de service est une priorité absolue. Un IPS mal calibré aurait pu, dans ces cas, causer des dommages irréversibles en bloquant des flux légitimes.

C’est ici que l’approche moderne NDR, couplée à un orchestrateur de sécurité (SOAR), offre une troisième voie, plus intelligente. Au lieu d’un blocage binaire, elle permet des remédiations automatiques et ciblées. Par exemple, au lieu de bloquer tout le trafic d’un serveur, le système peut simplement l’isoler du réseau, le mettre en quarantaine le temps de l’investigation, ou bloquer uniquement le flux spécifique vers la destination C2 identifiée. C’est une réponse chirurgicale, pas un coup de massue.

Le tableau suivant résume bien les avantages et inconvénients de chaque approche.

Passer à une posture de détection et réponse active n’est pas seulement un changement d’outil, c’est un changement de mentalité. La première étape concrète pour vous, en tant qu’ingénieur réseau, est de commencer à cartographier le « bruit de fond » de votre propre environnement. Identifiez vos flux critiques, profilez vos communications inter-serveurs habituelles et posez-vous la question : si un intrus était là, maintenant, le verriez-vous ?