Intégrité du flux TCP
Violations de la machine à états, du séquencement et du réassemblage TCP — premiers signaux de détournement de session et d'évasion de l'IDS.
- Anomalie d'horodatage TCP Segments dont l'option d'horodatage TCP contredit le contexte de la session.
- Retransmissions excessives Le même segment retransmis au-delà du seuil.
- FIN/segment hors fenêtre FIN ou segments hors de la fenêtre de réception TCP.
- Numéro de séquence erroné Paquets portant un seq inattendu pendant le handshake ou la fermeture.
- ACK invalide Paquets dont le numéro d'ACK est incohérent avec l'état de la session.
- Évasion lors du handshake Manipulation des seq/ack du handshake en trois temps qui perturbe le réassemblage de l'IDS.
- Anomalie de réémission de SYN SYN répétés avec des seq différents lors de l'établissement de la connexion.
- SYN distincts excessifs Tentatives de connexion avec de nombreux SYN / SYN-ACK différents.
- Injection de RST suspectée RST injectés en décalage avec le déroulement de la session.
- Chevauchement au réassemblage Segments au contenu différent se chevauchant au même décalage.
Décodage des paquets
Intégrité du décodage des paquets et des en-têtes (somme de contrôle, options, longueur). Le plus souvent du bruit, parfois de la falsification ou de la prise d'empreinte.
- Erreur de somme de contrôle TCP Paquets TCPv4 dont la somme de contrôle est invalide.
- Erreur de somme de contrôle UDP Paquets UDPv4 dont la somme de contrôle est invalide.
- Anomalie de longueur d'option TCP Longueur du champ d'options TCP hors spécification.
- Anomalie de longueur d'en-tête Longueur d'en-tête TCP/IP trop faible ou contraire à la spécification.
Anomalie de protocole
Écarts du protocole applicatif — masquage de port, tunnels et signaux de canal caché.
- Protocole unidirectionnel Protocole applicatif observé dans une seule direction.
- Protocole non concordant Protocole applicatif différent de celui attendu pour ce port ou cette direction.
- Premières données à contresens Les premières données circulent dans le sens inverse de celui attendu.
- Protocole inattendu Un protocole qui ne peut pas apparaître légitimement dans cette session.
- Rétrogradation STARTTLS Aucun passage à TLS après la négociation STARTTLS.
Conformité HTTP
Violations du protocole HTTP — contrebande de requêtes, contournement de WAF et surface d'attaque liée à l'en-tête Host.
- Désynchronisation des réponses (contrebande) Flux HTTP dont les paires requête-réponse ne peuvent pas être appariées.
- Corps de requête inattendu Un corps présent sur une méthode qui ne devrait pas en porter.
- Ligne de requête incomplète Une ligne de requête qui ne se termine pas conformément à la spécification.
- Caractère non conforme Caractères contraires à la spécification dans la méthode ou l'URI.
- Anomalie de l'en-tête Host Requêtes dont l'en-tête Host est absent ou mal formé.
Anomalie TLS
Anomalies du handshake et des enregistrements TLS — surface de rétrogradation, de balayage et d'exploitation (Heartbleed).
- Anomalie d'enregistrement TLS Enregistrements ou trafic TLS mal formés.
- Anomalie de type d'enregistrement TLS Un type d'enregistrement TLS non autorisé.
- Alerte d'erreur TLS Une erreur TLS (alerte) pendant le handshake.
- Handshake TLS invalide Violation de la longueur ou de la structure des messages du handshake.
- Heartbleed suspecté Heartbeat anormal visant à faire fuiter la mémoire (CVE-2014-0160).
Anomalie DNS
Anomalies des réponses DNS — empoisonnement de cache, usurpation et signaux de réflexion.
- Réponse DNS non sollicitée Une réponse DNS reçue sans requête préalable.
Messagerie (SMTP)
Anomalies de session SMTP — spam, abus de relais et sondage des serveurs de messagerie.
- DATA SMTP rejeté La commande DATA a été rejetée par le serveur.
- Message d'accueil SMTP absent La session se poursuit sans la salutation du serveur (220).
- Réponse SMTP invalide Une réponse SMTP hors spécification.
Schémas d'attaque web
Schémas d'attaque applicative web — requêtes nginx suspectes classées en reconnaissance, injection et RCE.
- Balayage de fichiers secrets Requêtes suspectes visant .env, .git, les fichiers de configuration et de clés.
- Traversée de répertoires Accès à des fichiers via ../, des encodages et des chemins système.
- Injection SQL Charges utiles SQL avec UNION, information_schema et à base de booléens ou de temporisation.
- Scripting entre sites Balises script, gestionnaires d'événements et charges utiles accédant aux cookies.
- Sondage d'exécution de code à distance Charges utiles shell, exécution de commandes, désérialisation et JNDI.
- Assaut sur les pages d'administration Accès répétés à wp-login, phpMyAdmin et aux chemins de consoles d'administration.
- UA de bot ou de scanner malveillant User-Agents d'outils d'attaque tels que sqlmap, nikto et masscan.
- Autres requêtes suspectes Les requêtes is_suspicious restantes qui ne correspondent à aucun des schémas ci-dessus.
Anomalie par apprentissage
Détection d'anomalies par apprentissage automatique — un auto-encodeur non supervisé qui repère l'écart par rapport à la référence apprise.
- Anomalie de l'auto-encodeur Kitsune Un ensemble d'auto-encodeurs non supervisés signalant les IP anormales d'après leur erreur de reconstruction par rapport à la normale.
Balayage heuristique
Heuristiques à base de règles — scanners, force brute, bots et anomalies de débit bloqués par des règles explicites.
- Détection heuristique srct Correspondances avec les règles scanner de reconnaissance, force brute d'administration, UA de bot, inondation de 4xx, diversité JA3 et balayage TCP court.
Empreinte JA3
Analyse de l'empreinte du client TLS (JA3) — rotation d'empreintes, botnets et détection d'automatisation.
- Rotation JA3 / botnet Une même source faisant tourner de nombreuses empreintes JA3 au fil de ses connexions TLS.
Suivez ces versions sur vos propres serveurs
InfraGuard collecte les versions logicielles installées sur chaque serveur et signale celles qui présentent des vulnérabilités connues. Auto-hébergé : rien ne quitte votre réseau.