この記事は 「ネットワーク上級編｜要件定義・設計・クラウド・自動化へ進む」 の第44回です。
第5章では、ファイアウォール、DMZ、IDS・IPS、WAF、VPN、 認証、セグメンテーションなどを組み合わせ、 企業ネットワークをどのように守るかを学びます。
IDS・IPSとは？違い・仕組み・検知方式・配置をネットワークエンジニア向けに解説
ファイアウォールでHTTPS通信を許可していても、その通信の中に攻撃が含まれている可能性があります。 IDS・IPSは、許可された通信をさらに監視し、不審な通信を検知・防御するための仕組みです。 本記事では、IDSとIPSの違いだけでなく、検知方式、配置、誤検知、性能、可用性まで設計視点で解説します。
IDSとIPSについて、 「IDSは検知、IPSは遮断」 とだけ覚えている人も多いでしょう。
しかし設計担当者には、それだけでは不十分です。 どの通信を監視するのか、どこへ配置するのか、 誤検知が起きた場合にどうするのか、IPS障害時に通信をどう扱うのか まで考える必要があります。
この記事を読み終えるとできること
- IDSとIPSの違いを説明できる
- ファイアウォールとの役割の違いを説明できる
- シグネチャ型と異常検知型を比較できる
- パッシブ型とインライン型を説明できる
- IDS・IPSの配置場所を検討できる
- False PositiveとFalse Negativeを説明できる
- IPSの性能・可用性を設計できる
- 顧客へIPSの必要性を説明できる
IDS・IPSとは何か
IDSは「不審な通信を検知する仕組み」、 IPSは「不審な通信を検知し、必要に応じて遮断する仕組み」です。
IDSとは
IDS（Intrusion Detection System）は、 日本語では「侵入検知システム」と呼ばれます。
ネットワーク上の通信やホストの状態を監視し、 攻撃や不審な動作を検知すると、ログを記録したり管理者へ通知したりします。
IDSの基本的な役割は、 「怪しい通信を見つけて知らせる」 ことです。
IPSとは
IPS（Intrusion Prevention System）は、 日本語では「侵入防止システム」と呼ばれます。
不審な通信を検知するだけでなく、 条件に応じてパケットを破棄するなど、 攻撃通信をリアルタイムに防御できます。
IPSの基本的な役割は、 「怪しい通信を見つけて止める」 ことです。
IDSとIPSの違いを図で理解する
IDS：通信をコピーして監視する
IDSの代表的なパッシブ構成
IDSでは、SPANポートやネットワークTAPなどを利用して、 本番通信のコピーをセンサーへ送る構成があります。
IDS自身が本番通信の経路上に存在しないため、 IDSが停止しても本番通信へ直接影響しにくいことが特徴です。
IPS：通信経路上で検査する
IPSの代表的なインライン構成
| 項目 | IDS | IPS |
|---|---|---|
| 主目的 | 検知・通知 | 検知・防御 |
| 代表的な配置 | パッシブ | インライン |
| 通信経路上 | 基本的に置かない | 置く |
| 攻撃通信 | ログ・アラート | Dropなどが可能 |
| 誤検知時 | 不要なアラートが増える | 正常通信を止める可能性がある |
| 装置障害時 | 通信影響が比較的小さい | 本番通信への影響を考慮する |
実際の製品では、IDSとIPSが別々の専用製品とは限りません。 同じ製品でも、パッシブ監視ならIDS的に、 インラインで遮断を行えばIPS的に利用できる場合があります。
ファイアウォールがあればIPSはいらないのか
ファイアウォールとIDS・IPSは、役割が異なります。
たとえばインターネットへWebサーバーを公開する場合、 ファイアウォールではHTTPS通信を許可する必要があります。
HTTPSを許可した例
ファイアウォールポリシーが次のようになっているとします。
| 項目 | 設定 |
|---|---|
| 送信元 | Internet |
| 宛先 | Web Server |
| サービス | HTTPS / TCP 443 |
| アクション | Allow |
TCP/443だからといって、その中身まで安全とは限りません。 許可されたHTTPS通信の中に攻撃が含まれる可能性があります。
役割の違い
Firewall： 「この通信をそもそも通してよいか」
IDS・IPS： 「通した通信の中に不審な内容や振る舞いがないか」
IDS・IPSはどうやって攻撃を見つけるのか
IDS・IPSには複数の検知方法があります。 代表的なものは次の3つです。
シグネチャベース
既知の攻撃パターンと通信を比較して検知します。
アノマリーベース
通常時と大きく異なる通信や振る舞いを検知します。
ステートフルプロトコル解析
プロトコルとして正常な通信状態・順序かを確認します。
複数方式の組み合わせ
実際の製品では複数の技術を組み合わせて検知する場合があります。
シグネチャベース検知
シグネチャとは、簡単に言えば 既知の攻撃に見られる特徴やパターン です。
シグネチャ検知のイメージ
メリット
- 既知の攻撃を検知しやすい
- 何の攻撃か判断しやすい
- ルールの意味を確認しやすい
デメリット
- 未知の攻撃に弱い
- シグネチャ更新が必要
- 攻撃方法の変化で検知できない場合がある
アノマリーベース検知
Anomalyは「異常」という意味です。
通常時の通信パターンを基準にし、 いつもと大きく異なる通信や振る舞いがないか確認します。
通常状態と異常状態
通常
PC-A → DNS Server
PC-A → Web Server
PC-A → File Server
異常
PC-A → 10.1.1.1
PC-A → 10.1.1.2
PC-A → 10.1.1.3
PC-A → 数千アドレスへ連続通信
メリット
未知の攻撃でも、通常と異なる動作として検知できる可能性があります。
注意点
正常な業務変更を異常として判断する場合があります。
- 月次バックアップ
- 全社アップデート
- 大量ファイル転送
- システム移行
ステートフルプロトコル解析
ステートフルプロトコル解析では、 1つのパケットだけを見るのではなく、 通信全体がプロトコルとして正常な状態・順序になっているか を確認します。
正常な通信状態のイメージ
プロトコル上あり得ない順序や不自然な値などを、 異常として判断できる場合があります。
実際のIDS・IPSでは、1種類の方式だけではなく、 シグネチャ、異常検知、プロトコル解析などを組み合わせることがあります。
False PositiveとFalse Negative
IDS・IPSを設計・運用するうえで、 非常に重要なのが誤判定です。
False Positive
正常な通信を攻撃だと誤って判断することです。
False Positive
IPSではFalse Positiveによって正常な業務通信を遮断すると、 セキュリティ装置そのものが障害原因 になる可能性があります。
False Negative
実際の攻撃を正常通信だと判断して見逃すことです。
False Negative
IDS・IPSでは、誤検知と見逃しを完全にゼロにするのではなく、 自社環境に合わせて適切なバランスへ調整する ことが重要です。
IPSではチューニングが重要
IPS導入時に、 「すべてのシグネチャを有効にして、全部遮断すれば安全」 と考えるのは危険です。
不要なルールまで大量に有効化すると、 アラートが増え、False Positiveによって正常通信まで遮断する可能性があります。
確認する主な情報
- 保護対象サーバー
- 利用しているOS
- 使用アプリケーション
- 利用プロトコル
- 脆弱性情報
- 業務上必要な通信
- 過去のアラート
- 誤検知の発生状況
導入時の進め方の一例
- まず検知中心で動作させる 実際にどのようなアラートが発生するかを確認します。
- 一定期間ログを収集する 通常時の通信やアラート傾向を確認します。
- False Positiveを確認する 正常通信が攻撃と判断されていないか確認します。
- 不要なルールを調整する 保護対象や利用アプリケーションに合わせます。
- 確度の高い攻撃から遮断する 業務影響を考えながら段階的に防御を強化します。
- 継続的に見直す システム変更や新しい脅威に合わせて更新します。
IDS・IPSをネットワークのどこへ配置するか
IDS・IPSは「導入すること」よりも、 何を守るために、どの通信を見るか が重要です。
IDSの代表的な配置
SPAN・TAPを利用するIDS構成
メリット
- IDS障害が本番通信へ影響しにくい
- 既存ネットワークへ追加しやすい
- まず監視だけ始めやすい
注意点
- 監視対象通信が正しくコピーされている必要がある
- 高負荷時にコピー側でパケットが欠落する可能性がある
- 攻撃通信を直接遮断する用途には向かない
IPSの代表的な配置
DMZを保護するIPS構成
前回学んだDMZ設計と組み合わせることで、 ファイアウォールだけに依存しない多層防御を構成できます。
監視ポイントの例
Internet → DMZ
公開サーバーへの攻撃を監視します。
Internet → 社内
外部から内部ネットワークへ入る通信を監視します。
Client → Server
内部端末から重要サーバーへの通信を監視します。
拠点 → データセンター
拠点間通信や重要システム向け通信を監視します。
IPSの配置は、 守りたい資産と想定する攻撃経路 から決めます。
HTTPSなどの暗号化通信では何が見えるのか
現在のネットワークではHTTPSなどの暗号化通信が広く利用されています。
IPSが通信経路上に存在していても、 ペイロードが暗号化されていれば、 その内容をそのまま詳細解析できない場合があります。
暗号化されたHTTPS通信
対策として検討するもの
- TLS復号
- 復号後の通信をIPSで検査する構成
- エンドポイント側での監視
- サーバー側でのセキュリティ対策
TLS復号を行う場合は、単純に「復号できればよい」ではありません。
証明書管理、プライバシー、性能、復号対象外通信、 社内規程なども設計する必要があります。
IPSでは性能要件も確認する
IPSは通信を受信してそのまま転送しているだけではありません。
IPS内部処理のイメージ
そのため、 「インターネット回線が1Gbpsだから、1Gbps対応なら問題ない」 と単純には判断できません。
確認したい性能項目
- IPS有効時の実効スループット
- パケット毎秒（PPS）
- 同時セッション数
- 新規セッション数
- 有効化するセキュリティ機能
- TLS復号の有無
- 通常時通信量
- ピーク時通信量
- 将来の通信増加量
インラインIPSの性能が不足すると、 IPS自体が通信遅延やパケットロスの原因になる可能性があります。
IPS障害時の動作を設計する
IPSは通信経路上へ配置されるため、 IPS自体が停止した場合の動作も決めておく必要があります。
通信を継続する考え方
IPS機能に問題が発生しても通信を通します。
- 可用性を優先できる
- 業務停止を避けやすい
- 未検査通信が通るリスクがある
通信を停止する考え方
IPSで安全を確認できない通信を停止します。
- セキュリティを優先できる
- 未検査通信を防げる
- IPS障害が業務停止につながる
正解が常に1つあるわけではありません。 「セキュリティ」と「可用性」のどちらをどこまで優先するか を、対象システムの要件から判断します。
IDS・IPS設計で確認する項目
| 設計項目 | 確認内容 |
|---|---|
| 保護対象 | どのサーバー・サービス・ネットワークを守るか |
| 監視対象通信 | どの送信元・宛先間通信を検査するか |
| 配置場所 | Internet境界、DMZ、内部など |
| 動作方式 | IDSとして監視するか、IPSとして防御するか |
| 接続方式 | PassiveかInlineか |
| 検知方式 | Signature、Anomaly等 |
| 防御動作 | Alert、Dropなど |
| 暗号化通信 | HTTPS等をどこまで検査するか |
| 性能 | 帯域、PPS、セッション数 |
| 可用性 | IPS障害時に通信をどう扱うか |
| ログ | 保存先、保存期間、必要な情報 |
| 通知 | SIEM、メール、SOC等との連携 |
| 運用 | 誰がアラートを確認するか |
| 更新 | シグネチャ更新方法 |
| チューニング | 誤検知をどのように減らすか |
| 試験 | 検知・通知・遮断をどう確認するか |
IDS・IPS設計でよくある失敗
1．IPSを入れれば安全だと考える
IPSはセキュリティ対策の1つにすぎません。 Firewall、認証、パッチ、ログ監視、 セグメンテーションなどと組み合わせます。
2．すべてのアラートを同じ扱いにする
数千件のアラートが発生しても誰も確認できなければ意味がありません。 重要度に応じた運用ルールが必要です。
3．導入後にチューニングしない
誤検知が多い状態を放置すると、 担当者がアラートを無視する原因になります。
4．性能を回線速度だけで判断する
IPS機能、TLS復号などを有効にした状態で 必要な性能を確保できるか確認します。
5．暗号化通信を考慮しない
HTTPSをIPSへ通すだけで、すべての内容を解析できるとは限りません。
6．IPS障害時の動作を決めていない
IPSがSingle Point of Failureにならないよう、 可用性も含めて設計します。
Firewall・IDS・IPS・WAFの違い
次回学習するWAFまで含めて、役割を整理しておきましょう。
| 技術 | 主な役割 | 主な保護対象 |
|---|---|---|
| Firewall | 通信の許可・拒否 | ネットワーク |
| IDS | 不審通信の検知・通知 | ネットワーク・ホスト |
| IPS | 不審通信の検知・防御 | ネットワーク・ホスト |
| WAF | Webアプリケーション向け攻撃対策 | Webアプリケーション |
役割分担のイメージ
実際の製品では、NGFWなど1台の機器に複数機能が統合されている場合があります。 装置が同じでも、論理的な役割は分けて整理しましょう。
顧客へIDS・IPSの必要性を説明する方法
技術に詳しくない顧客へ説明するときは、 シグネチャなどの細かい機能から説明するのではなく、 ファイアウォールとの役割の違いから説明すると伝わりやすくなります。
説明例
ファイアウォールは、許可した通信だけを通す入口の警備員のような役割です。 ただし、許可されたHTTPS通信の中に攻撃が含まれている可能性があります。
IPSは、その通過した通信の内容や振る舞いも確認し、 攻撃と判断した通信を遮断するために利用します。
さらに設計理由まで説明する
公開Webサーバーはインターネットからアクセスを受ける必要があるため、 HTTPS通信自体はファイアウォールで許可します。
その許可通信に対する攻撃を検知・遮断するため、 DMZへの通信経路上でIPSによる検査を行います。
上級編では、単に製品の機能を説明するのではなく、 「なぜ、その機能を、その場所へ配置するのか」 まで説明できることを目標にします。
IDS・IPSで使われる英語表現
| 英語 | 意味 |
|---|---|
| Intrusion | 侵入・不正アクセス |
| Detection | 検知 |
| Prevention | 防止 |
| Signature | 攻撃パターン |
| Anomaly | 異常 |
| Alert | 警告 |
| Drop | 通信を破棄する |
| Inline | 通信経路上に配置する |
| Passive | 受動的に監視する |
| False Positive | 正常通信を攻撃と誤判定 |
| False Negative | 攻撃を見逃す |
| Tuning | 検知条件の調整 |
| Bypass | 検査を迂回する |
| Threat | 脅威 |
| Malicious Traffic | 悪意ある通信 |
英語ドキュメントの検索例
IPS inline deploymentIDS passive monitoringIPS false positive tuningintrusion prevention best practicesIPS encrypted traffic inspection
理解度チェック
記事の内容を理解できたか、5問で確認しましょう。
問題1．IDSとIPSの最も基本的な違いはどれですか。
- IDSはIPv4専用、IPSはIPv6専用
- IDSは検知が中心、IPSは検知に加えて防御できる
- IDSはLAN専用、IPSはWAN専用
- IDSは暗号化通信専用
解答を見る
IDSは検知・通知を中心とし、 IPSでは不審な通信を遮断するなどの防御も行います。
問題2．既知の攻撃パターンと通信を比較する方式はどれですか。
- シグネチャベース
- NAT
- ルーティング
- VLAN
解答を見る
既知の攻撃に見られる特徴をシグネチャとして登録し、 実際の通信と照合します。
問題3．正常な通信をIPSが攻撃だと判断することを何と呼びますか。
- False Negative
- False Positive
- Failover
- Routing Loop
解答を見る
False Positiveは、 正常な通信を攻撃として誤検知する状態です。
問題4．IPSをインライン配置するとき、 IDSのパッシブ配置と比べて特に考慮すべきものはどれですか。
- IPS障害時の通信影響
- MACアドレスの長さ
- DNSドメイン名
- VLAN IDの最大値
解答を見る
IPSは通信経路上に配置されるため、 性能不足や装置障害が本番通信へ影響する可能性があります。
問題5．HTTPS通信をIPSへ通せば、 必ずアプリケーションデータの中身をすべて解析できる。 ○か×か。
解答を見る
HTTPSのペイロードは暗号化されています。 詳細な内容を検査するには、 TLS復号などを含む追加設計が必要になる場合があります。
実践演習：IPSの配置を考えよう
次の企業ネットワークを想定します。
演習用ネットワーク
要件
- Webサーバーをインターネットへ公開する
- Internet → Web ServerはHTTPSのみ許可する
- Webサーバーへの攻撃を検知したい
- 確度の高い攻撃は自動的に遮断したい
- 正常なWebアクセスへの影響は最小化したい
課題1
IDSとIPSのどちらが、この要件に適していますか。
解答例を見る
自動遮断が求められているため、 基本的にはIPSが候補になります。
課題2
IPSをどこへ配置しますか。
解答例を見る
一例として、
Internet → Firewall → IPS → DMZ → Web Server
とし、Firewallで許可したWebサーバー向け通信を IPSでさらに検査します。
課題3
導入初日から大量のシグネチャをすべて自動遮断にすると、 どのようなリスクがありますか。
解答例を見る
False Positiveによって正常な利用者の通信を遮断し、 Webサービス障害を引き起こす可能性があります。
まず検知結果を確認し、チューニング後に 確度の高いルールから段階的に遮断へ移行する方法を検討します。
課題4
HTTPS通信を詳細に検査したい場合、 追加で何を検討する必要がありますか。
解答例を見る
TLS復号や、復号後の通信をどこでIPSへ渡すかを検討します。
同時に、性能、証明書管理、プライバシー、 復号対象外通信なども考慮します。
自分の言葉で説明する課題
顧客から次の質問を受けたとします。
「ファイアウォールがあるのに、 どうしてIPSまで必要なんですか？」
説明例を見る
ファイアウォールは、送信元や宛先、サービスなどを基準に、 通信を許可するか拒否するかを制御します。
一方、許可したHTTPS通信の中にも攻撃が含まれている可能性があります。 IPSは、その許可された通信をさらに解析し、 攻撃と判断した通信を遮断します。
ファイアウォールとIPSを組み合わせることで、 入口の通信制御と、通過する通信への攻撃対策を重ねることができます。
まとめ
- IDSは、不審な通信の検知・通知が中心
- IPSは、検知に加えて通信の遮断・防御が可能
- IDSではパッシブ、IPSではインライン構成が代表的
- シグネチャベースは既知の攻撃パターンを利用する
- アノマリーベースは通常状態との差を利用する
- ステートフルプロトコル解析では通信状態やプロトコル動作を見る
- False Positiveは正常通信を攻撃と誤判断すること
- False Negativeは攻撃を正常通信として見逃すこと
- IPSでは導入後のチューニングが重要
- HTTPSなどの暗号化通信では検査できる範囲に注意する
- インラインIPSでは性能と障害時の通信動作を設計する
- 配置場所は「守る資産」と「想定する攻撃経路」から決める
IDS・IPSを導入すること自体が目的ではありません。 何を守り、どの通信を、どこで検査するのかを決めることが セキュリティ設計では重要です。
第5章「セキュリティ」では、 ネットワークセキュリティ、Firewall、DMZ、IDS・IPS、WAF、 VPN、AAA、セグメンテーション、Zero Trust、インシデント調査までを学びます。
コメント