Alerte IPS UniFi : une menace a été détectée, que faire ?

Ce que fait l’IPS

La passerelle UniFi compare le trafic à une base de signatures d’attaques connues. Les noms qui commencent par ET viennent de la base Emerging Threats. Selon le réglage, la passerelle se contente de signaler (détection) ou bloque aussi le trafic (prévention). Si l’alerte indique « Autoriser », le trafic est passé.

Lire l’alerte

• La source et la destination : quel appareil a émis le trafic, et vers quoi. Un appareil interne qui contacte l’extérieur n’a pas le même sens qu’un trafic entrant.
• La signature : son nom donne la famille (WORM, MALWARE, SCAN, POLICY…). Une recherche sur son numéro (SID) indique ce qu’elle vise.
• La répétition : une alerte qui revient tous les jours à la même heure pointe souvent vers une tâche planifiée ou un logiciel.

Les vérifications, dans l’ordre

1. Identifiez l’appareil grâce à son adresse IP ou MAC dans la liste des clients UniFi.
2. Vérifiez si la signature correspond à cet appareil. Exemple : une signature qui vise une faille d’anciens routeurs, déclenchée par un PC Windows vers votre passerelle, ressemble plus à un logiciel qui sonde le réseau qu’à un routeur infecté.
3. Lancez une analyse complète de l’appareil avec votre antivirus ou votre EDR.
4. Mettez à jour la passerelle UniFi et ses signatures.
5. Si le doute persiste, isolez l’appareil sur un réseau séparé le temps de l’analyse.

Quand s’inquiéter vraiment

Plusieurs appareils touchés, un appareil interne qui contacte des adresses à mauvaise réputation, de gros volumes de données sortants, ou une alerte confirmée par l’antivirus : dans ces cas, faites intervenir un technicien sans attendre.

Questions fréquentes

Documentation Ubiquiti sur la détection et la prévention des intrusions (IDS/IPS). Les menus varient selon la version de la console UniFi.