IDS IPS : 10 logiciels de détection et de prévention d'intrusion

Un IDS (Intrusion Detection System) surveille le trafic réseau ou l'activité d'une machine et alerte quand il repère une attaque ; un IPS (Intrusion Prevention System) va plus loin et bloque le trafic suspect. Ce comparatif réunit les grands moteurs open source du métier, les sondes de détection et de réponse réseau (NDR) du marché et deux plateformes qui les intègrent. La centralisation des journaux relève du SIEM et la protection des postes de l'EDR . Retrouvez les autres catégories de sécurité parmi les outils Tech.

IDS et IPS : définition et différence entre détection et prévention

L'IDS travaille sur une copie du trafic ou sur les journaux : il ne ralentit rien, mais il se contente d'alerter, et quelqu'un doit réagir. L'IPS est placé en coupure, sur le chemin des paquets : il peut rejeter une connexion ou bannir une adresse IP sur le moment, au risque de bloquer un flux légitime s'il se trompe. Plusieurs moteurs font les deux selon leur mode de déploiement : Snort bloque les paquets quand il est installé en coupure, et le Remediation Component de CrowdSec transforme son moteur de détection en système de prévention.

Méthodes de détection et types de sondes : NIDS, HIDS et NDR

• Signatures : le moteur compare le trafic à des règles qui décrivent des attaques connues. C'est le cœur de Snort et de Suricata, avec des jeux de règles communautaires ou commerciaux.

• Comportement : l'outil apprend l'activité normale et signale les écarts. Darktrace repère ainsi les menaces par écart de comportement plutôt que par signatures.

• NIDS ou HIDS : le NIDS écoute le réseau depuis une sonde ; le HIDS, comme OSSEC, lit les journaux et vérifie l'intégrité des fichiers sur chaque serveur.

• NDR : la détection et réponse réseau prolonge le NIDS avec l'analyse comportementale, l'investigation et la réponse.

Déploiement de la sonde : emplacement, limites et bonnes pratiques

Une sonde réseau se place là où passe le trafic à surveiller : derrière le pare-feu, entre le réseau interne et les serveurs, ou sur un port miroir du commutateur. Le chiffrement limite ce qu'elle voit du contenu, d'où l'intérêt des journaux TLS et DNS que produisent Suricata et Zeek. Un IDS génère aussi des alertes à trier : prévoyez du temps d'analyse, un SIEM pour corréler, et un réglage des règles pour réduire les faux positifs avant de passer en mode blocage.

Huit solutions open source et commerciales comparées

Suricata

Porté par la fondation à but non lucratif OISF, Suricata est un moteur open source d'IDS, d'IPS et de surveillance réseau (NSM). Il applique un langage de signatures complet, journalise HTTP, TLS et DNS, extrait des fichiers et produit ses alertes en JSON. Une seule instance inspecte un trafic de plusieurs gigabits. Gratuit.

Snort

Système open source de prévention d'intrusion, Snort compare les paquets à des règles et peut les bloquer en coupure. Le logiciel et les règles communautaires sont gratuits ; les règles Subscriber de Cisco Talos arrivent 30 jours plus tôt, pour 29,99 $ par an en usage personnel ou 399 $ par capteur et par an en entreprise.

Zeek

Zeek observe passivement le trafic, sans rien bloquer, et produit des journaux structurés de toute l'activité réseau. Il analyse HTTP, DNS, TLS ou SSH, repère signatures et comportements anormaux et se programme dans son propre langage de script. Né dans les années 1990 sous le nom de Bro, il est gratuit et open source.

OSSEC

OSSEC est un HIDS open source géré par Atomicorp : détection d'intrusion à partir des journaux, intégrité des fichiers, détection de logiciels malveillants et réponse active. OSSEC et OSSEC+ sont gratuits ; Atomic OSSEC, commercial, ajoute une interface graphique et du support.

CrowdSec

Le Security Engine de CrowdSec est un IDS open source qui analyse journaux et requêtes en local ; le Remediation Component bloque les IP repérées. Le moteur est gratuit. Les listes de blocage Platinum démarrent à 1 900 $ par mois pour les PME et l'API de réputation IP à 49 $ par mois pour 5 000 requêtes.

Stamus Clear

Plateforme NDR de Stamus Networks construite sur Suricata, Stamus Clear présente chaque menace avérée avec ses preuves et rattache ces preuves aux exigences de NIS2 et de DORA. Elle fonctionne dès le premier jour, sans période d'apprentissage. Stamus Community est gratuite ; Stamus Clear est sur démonstration.

Darktrace

Darktrace / HYBRID NETWORK ingère passivement le trafic du réseau sur site, du cloud, de l'OT et des identités, apprend chaque réseau à partir de zéro et contient les menaces par des réponses autonomes et configurables. Aucun prix publié.

Vectra AI

La Vectra AI Platform réunit observabilité des réseaux sur site et multicloud, détection, investigation et réponse, avec des cas d'usage comme les mouvements latéraux et les attaques sur les identités. Des services managés (MXDR, MDR) complètent l'offre. Sur démonstration.

Wazuh

Plateforme open source de XDR et de SIEM, Wazuh assure aussi la détection sur l'hôte : analyse des journaux, intégrité des fichiers, détection de logiciels malveillants. Le site d'OSSEC présente d'ailleurs OSSEC+ comme une alternative à Wazuh. Gratuit, avec un essai cloud.

Security Onion

Né en 2008 comme distribution Linux de détection d'intrusion, Security Onion est une plateforme libre et gratuite de chasse aux menaces, de surveillance réseau et de gestion des journaux, qui intègre Suricata, Zeek et la suite Elastic. L'offre Pro ajoute des automatisations par IA.

Tableau des prix et des versions gratuites

Tarifs affichés par les éditeurs en novembre 2026, en dollars, sans précision HT ou TTC.

Choisir selon vos besoins : réseau, serveurs et taille de l'équipe

Une équipe technique qui veut une sonde réseau sans licence peut partir de Suricata ou de Snort, et ajouter Zeek pour des journaux d'enquête ; Security Onion les réunit dans une même distribution. Pour protéger des serveurs exposés sur internet, un HIDS comme OSSEC ou un moteur à base de journaux comme CrowdSec s'installe sur chaque machine. Les grandes organisations qui manquent de temps d'analyse regarderont les plateformes NDR, Stamus Clear, Darktrace ou Vectra AI, qui trient et expliquent les alertes, et leurs services de réponse. Dans tous les cas, vérifiez le débit à inspecter, les sources de règles et l'envoi des alertes vers votre SIEM.