Scan et IDS
Scan est l'un des six types d'attaque du duel de cartes, et IDS est la défense qui le contre. Tu trouveras ici ce qu'ils représentent dans la sécurité réelle, comment ils s'affrontent dans le jeu et leurs 18 cartes.
L'attaque : Scan
Le scan, c'est la reconnaissance : découvrir quelles machines sont allumées sur un réseau, quels ports sont ouverts, quels services et quelles versions répondent. Des outils comme nmap rendent ce travail rapide. Un scan seul ne casse rien, mais c'est presque toujours la première étape d'une attaque : il dit à l'attaquant où regarder et quelles vulnérabilités chercher.
La défense : IDS
Un IDS (Intrusion Detection System) analyse le trafic réseau ou les événements des systèmes et signale ce qui ressemble à une attaque : scans de ports, signatures d'exploits connus, comportements anormaux. Seul, il ne fait qu'alerter (un IPS peut aussi bloquer) ; sa valeur est de prévenir tôt la défense, souvent dès la phase de reconnaissance, quand l'attaquant est encore en train d'observer.
Qui arrête quoi
- IDS contre Scan : dégâts divisés par deux. Les scans laissent dans le trafic des traces reconnaissables, et c'est exactement le travail pour lequel un IDS est conçu.
- Scan contre MFA : double dégâts. Un scan n'essaie d'entrer dans aucun compte, il regarde seulement ce qui répond : le second facteur n'y est pour rien.
- Scan contre EDR : double dégâts. L'EDR surveille les programmes sur les ordinateurs, alors que le scan vient de l'extérieur et interroge les services réseau.
- Brute force contre IDS : double dégâts. Chaque tentative est une connexion normale sur la bonne page : une attaque lente et répartie ressemble au trafic habituel.
- DDoS contre IDS : double dégâts. L'IDS voit l'attaque et donne l'alerte, mais la détecter ne suffit pas : la connexion reste saturée.
Dans toutes les autres combinaisons, les dégâts sont normaux.
Les combos avec Scan
- Kill chain (Scan → Exploit ou Brute force, +2 dégâts): on découvre d'abord ce qui est exposé, puis on attaque le point faible trouvé.
- Reconnaissance (Scan → Phishing, +2 dégâts): savoir qui travaille où et avec quels systèmes rend le phishing crédible.
Cartes d'attaque Scan (7)
Ping sweep
Trouve quelles machines sont allumées sur un réseau. Peu de dégâts, mais des infos : tu pioches une carte.
Port scan
Ne coûte rien : pratique pour lancer un combo.
Scanner de vulnérabilités
Prends dans ton deck la première attaque.
Nmap agressif
Scan complet des ports, services et versions. Tu pioches une carte.
Banner grabbing
Lit la version des services exposés. Pendant 2 tours, les défenses adverses subissent +1 dégât.
Shodan
Tu pioches 2 cartes et les défenses adverses sont exposées pendant 2 tours.
Bucket public
Un stockage cloud laissé ouvert à tout le monde : une adresse et un navigateur suffisent. On l'évite avec un accès privé par défaut et des contrôles de configuration. En plus, 1 dégât direct au core.
Cartes de défense IDS (11)
IDS à signatures
Intrusion Detection System : repère les scans et les attaques connus dans le trafic.
Revue des logs
Quelqu'un lit vraiment les logs chaque matin. Les choses bizarres se remarquent.
Honeypot
Contre-attaque : qui la frappe perd 2 d'intégrité.
SOC 24/7
Une équipe qui surveille alertes et logs jour et nuit.
Télémétrie des endpoints
Chaque processus lancé sur un ordinateur est enregistré et envoyé aux analystes : rien ne reste caché longtemps. Contre-attaque : qui la frappe perd 1 d'intégrité.
Corrélation d'événements
Mille lignes de journal anodines, mises ensemble, racontent une attaque : c'est le travail du SIEM. Usure : au début du tour, la défense adverse la plus forte perd 1.
Capteur leurre
Un capteur qui se fait passer pour un vrai serveur : qui le touche se trahit et est enregistré. Contre-attaque : qui la frappe perd 1 d'intégrité. Régénère : +1 de résistance au début du tour.
SOC automatisé
Analystes et automatisation (SOAR) détectent et répondent en quelques secondes. Régénère : +1 de résistance au début du tour. Usure : au début du tour, la défense adverse la plus forte perd 1.
Deception grid
Contre-attaque : qui la frappe perd 3 d'intégrité.
Garde-fous pour modèles de langage
Des filtres sur les entrées et les sorties, des permissions minimales et un journal de ce que fait le modèle. Régénère : +1 de résistance au début du tour. Armure : −1 à chaque coup subi.
IA défensive autonome
Un système qui apprend le comportement normal et réagit seul, toujours avec une personne qui peut l'arrêter. Contre-attaque : qui la frappe perd 2 d'intégrité. Régénère : +1 de résistance au début du tour. Usure : au début du tour, la défense adverse la plus forte perd 1.
Guides associés (en anglais)
Pour apprendre la partie technique, il y a les laboratoires simulés :