IDS/IPSとは

この記事は約 2 分で読めます

IDS/IPS (Intrusion Detection System / Intrusion Prevention System) とは、ネットワークやシステムへの不正侵入を検知・遮断するセキュリティシステムです。 IDS は不正なアクティビティを検知して管理者に通知し、 IPS はさらに一歩進んで不正な通信を自動的にブロックします。ファイアウォールと組み合わせて多層防御を構築する重要な要素です。 2024 年時点で、クラウドベースの IDS/IPS が急速に普及しており、 AWS や Azure のマネージドサービスとして利用できます。

アラートを起点に防御を強化する流れ

IPS が攻撃の試行を遮断しても、それは一度の試みを止めたに過ぎず、攻撃者は送信元や手口を変えて繰り返してきます。ここで価値を持つのがアラートに含まれる情報です。どこから、どのサーバーに対して、どの攻撃パターンに一致する通信が来たのかが分かるため、攻撃元をIP ブロックリストに追加して入口で拒否する、狙われた弱点に対応して WAF など他の防御層のルールを見直す、といった追加の対策につなげられます。 IDS/IPS はアラートを受け取って対応する運用と組み合わせて初めて、単発の遮断を恒常的な防御の改善へ変えられます。

IDS と IPS の比較

IDS と IPS の違い

IDS と IPS は混同されがちですが、役割が明確に異なります。 IDS は「検知と通知」に特化しており、不正な通信を発見してもブロックはせず、管理者にアラートを送ります。一方、 IPS は「検知と遮断」を行い、不正な通信をリアルタイムで自動ブロックします。 IDS はネットワークの外側 (ミラーポート) に設置して通信のコピーを監視するのに対し、 IPS はネットワークの経路上 (インライン) に設置して通信を直接制御します。 IPS は誤検知で正常な通信をブロックするリスクがあるため、導入時のチューニングが重要です。多くの組織では IDS で監視を始め、運用が安定してから IPS に移行する段階的なアプローチを採用しています。

検知方式

シグネチャベース検知は既知の攻撃パターンと照合して検出する方式で、高い精度を持ちますが未知の攻撃には対応できません。アノマリベース検知は通常の通信パターンからの逸脱を検出する方式で、ゼロデイ攻撃も検出できますが誤検知が多くなる傾向があります。

パスワードセキュリティとの関連

IDS/IPS はブルートフォース攻撃やクレデンシャルスタッフィングの検知にも活用されます。短時間に大量のログイン試行を検出してブロックすることで、パスワードの総当たり攻撃を防ぎます。サービスごとに固有の強力なパスワードを設定し、 IDS/IPS による防御と組み合わせることで、アカウントの安全性が大幅に向上します。