当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
目的
IDS（Intrusion Detection System）とIPS（Intrusion Prevention System）は、ネットワーク上の不正な通信や攻撃を検知し、必要に応じて遮断するためのセキュリティ技術である。
ここでは、IDSとIPSの違い、検知の仕組み、導入時の考え方を整理する。
IDSとIPSとは
どちらもネットワーク上を流れる通信を監視し、不正アクセスや攻撃を発見する技術である。
違いは対応方法にある。
IDS
- 不正通信を検知する
- 管理者へ通知する
- 通信自体は止めない
IPS
- 不正通信を検知する
- 通信を自動で遮断する
- 被害拡大を防ぐ
つまり、
IDSは監視装置であり、IPSは監視と遮断を行う装置である。
IPSはIDSの機能も兼ね備えていることが多いため、小規模な環境では専用のIDSを導入するケースは少ない。一方、大規模環境では誤検知による業務停止を避けるため、あえて検知だけを行うIDSが採用されることもある。
どのように攻撃を検知するのか
検知方法はいくつか存在し、代表的なのは次の方式である。
シグネチャ検知
既知の攻撃パターンと通信内容を照合する。
メリット
- 精度が高い
- 誤検知が少ない
デメリット
- 未知の攻撃には弱い
異常検知
通常時の通信を学習し、普段とは異なる通信を検知する。
メリット
- 未知の攻撃にも対応できる
デメリット
- 誤検知が増えやすい
現在は両方を組み合わせる製品が一般的である。
どのような攻撃を検知するのか
IDS/IPSで検知する攻撃例として、次のようなものがある。
- ポートスキャン（攻撃の隙を探す行為）
- ブルートフォース攻撃（総当たりでパスワード解読を試みる攻撃）
- 脆弱性攻撃（プログラムの不具合を突く攻撃）
- マルウェア通信（悪意あるプログラムによる外部との通信）
- コマンド&コントロール（C2）通信（乗っ取られた端末と外部サーバーとの通信）
- DoS・DDoS攻撃の一部（大量の通信を行いサービス提供を妨害する攻撃）
攻撃方法は日々変化・増加するため、シグネチャ更新による既知の攻撃への対応と、異常検知による未知の攻撃への対応の両方が重要である。
IDS・IPSはどこに設置するのか
一般的にはネットワークの要所へ設置する。
例
- インターネット接続部
- 社内LANとの境界
- サーバーネットワーク前
- 拠点間VPN接続部
通信全体を監視できる位置に置くことで効果を発揮する。
UTM・ファイアウォールとの違い
混同されやすいが役割は異なる。
ファイアウォール
通信をルールに従って許可・拒否する。
IDS
通信内容を監視して攻撃を検知する。
IPS
通信内容を監視し、攻撃と判断した通信を遮断する。
UTM
ファイアウォール・IPS・アンチウイルス・Webフィルタなど複数の機能をまとめた統合セキュリティ製品。
現在ではIPS機能はUTMに含まれていることが多い。
小規模環境ではどう考えるか
SOHOやホームネットワークでは、専用のIDS・IPS機器を導入するケースは多くない。たいてはコストが見合わない・運用負荷が重いなどのデメリットが勝る。
専用機器の代わりに、
- UTM
- 次世代ファイアウォール（NGFW）
- 一部の高機能ルーター
に搭載されているIPS機能を使うのが一般的である。
そのため、小規模環境では「IDS/IPS単体の導入を検討する」よりも「UTMや高機能ルーターの機能として利用できないか確認する」方が理にかなっている。
まとめ
- IDSは攻撃を検知して通知する技術である
- IPSは攻撃を検知して通信を遮断する技術である
- IPSにはIDS機能も含まれることが多い
- シグネチャ検知と異常検知を組み合わせる製品が多い
- 現在はUTMやNGFWの機能として提供されることが一般的である
- 小規模環境では専用機器よりもUTMやルーター搭載機能を使う方が現実的