IDSとIPS
IDSとIPSとは
IDS(Intrusion Detection System)は侵入検知システム、IPS(Intrusion Prevention System)は侵入防止システムです。どちらもネットワークやサーバーを流れる通信を監視し、攻撃と思われるパターンを見つけ出します。
違いは見つけたあとの動きです。
- IDS(検知)— 管理者にアラートを上げる。通信そのものは止めない
- IPS(防止)— その場で通信を遮断する。攻撃はブロックされる
「警備カメラ」が IDS、「自動で閉まるシャッター」が IPS、とイメージすると分かりやすいでしょう。
ファイアウォールとの違い
[[ファイアウォール]] は「どのIP・どのポートの通信を通すか」という入口の許可リストを管理します。しかし、許可したポート(たとえば443番)を通ってくる攻撃までは見分けられません。
| ファイアウォール | IDS / IPS | [[WAF]] | |
|---|---|---|---|
| 見るもの | 送信元・宛先・ポート | 通信の中身のパターン | Webアプリへのリクエスト内容 |
| 得意分野 | 不要な通信の遮断 | 既知の攻撃・不審な挙動の検知 | Web特有の攻撃 |
| 位置づけ | 第1層 | 第2層 | アプリ直前の層 |
3つは競合ではなく役割の違う層です。組み合わせて多層防御を作ります。
検知の方式
| 方式 | 仕組み | 弱点 |
|---|---|---|
| シグネチャ型 | 既知の攻撃パターンと照合する | 未知の攻撃を見逃す |
| アノマリ型 | ふだんの通信の傾向から外れた挙動を検知する | 誤検知が多くなりがち |
運用のポイント
IDS/IPS は入れて終わりの装置ではありません。運用でつまずきやすいのは次の2点です。
- 誤検知(フォールスポジティブ)— 正常な通信を攻撃と判定してしまう。IPS では業務が止まるため、まず IDS モードで様子を見てから遮断を有効化するのが定石です
- 見逃し(フォールスネガティブ)— 検知ルールが古いと新しい攻撃をすり抜けます。シグネチャの更新が欠かせません
アラートは [[監視とアラート]] の仕組みに集約し、「誰がいつ確認するか」まで決めて初めて機能します。
初学者向けポイント
- 暗号化された通信の中身はそのままでは読めません。TLS を一度ほどいて検査する構成もありますが、プライバシーと性能への影響を考える必要があります
- 通信の中身を実際に確かめたいときは [[パケットキャプチャ]] が役に立ちます。大量アクセス型の [[DDoS攻撃と対策]] は IPS だけでは受け止めきれないため、上流の対策サービスと組み合わせます
関連技術とのつながり
- [[ファイアウォール]] — 入口で通信を絞る第1層。IDS/IPS はその先を見る
- [[WAF]] — Webアプリに特化した検査層。IDS/IPS と守備範囲が異なる
- [[DDoS攻撃と対策]] — 量で押す攻撃は上流の吸収が必要
- [[監視とアラート]] — 検知結果を人に届ける仕組み
- [[パケットキャプチャ]] — 検知内容を実データで裏取りする
Q: IDSとIPSの違いとして正しいのはどれ?
- [ ] IDSは通信を遮断し、IPSは通知だけを行う
- [x] IDSは検知して通知し、IPSは検知して遮断する
- [ ] IDSはWeb専用で、IPSはメール専用である
解説: IDS は検知・通知まで、IPS は検知に加えてその場で通信を遮断します。
Q: 既知の攻撃パターンと照合して検知する方式はどれ?
- [x] シグネチャ型
- [ ] アノマリ型
- [ ] ラウンドロビン型
解説: シグネチャ型は既知パターンとの照合で検知するため、未知の攻撃には弱いという特徴があります。
Q: IPSを導入するときの進め方として推奨されるのはどれ?
- [ ] 最初から全ルールで遮断を有効にする
- [x] まず検知のみで様子を見てから遮断を有効化する
- [ ] アラートは確認せず記録だけ残す
解説: 誤検知で正常な業務通信が止まるリスクがあるため、検知モードで傾向を確認してから遮断に進めます。