IDS・IPSとは?侵入を検知するか、止めるかの違いと、ファイアウォールとの関係

結論: IDS(侵入検知システム)は、攻撃らしい通信を検知して、知らせる仕組みです。**IPS(侵入防御システム)**は、検知に加えて、その場で遮断します。ファイアウォールが「IPアドレスやポート番号」を見るのに対し、**IDS/IPSは「通信のパターン」**を見ます。入れただけでは守れず、誤検知の調整と、アラートを見て対応する運用が必要です。

IDSとIPSの違い

たとえると、IDSは「防犯カメラと警報」、**IPSは「警報に加えて、扉を閉める守衛」**です。

置き場所による種類

ネットワーク型は、広い範囲を一度に見られます。ホスト型は、暗号化された通信が、端末に届いたあとの動きや、ファイルの変更も見られます。

どうやって攻撃を見分けるのか

多くの製品は、両方を組み合わせています。

ファイアウォール・WAF・EDRとの関係

1つで全てを守ることはできません。見る場所と、見るものが違うため、組み合わせて使います。ファイアウォールを通過した後の、許可された通信の中に紛れた攻撃を、IDS/IPSが見つける、という関係です。

使う時の注意点

① 誤検知(正常を、攻撃と判断する)

特にIPSでは、誤検知が、業務に直接影響します。

• 正常な通信が、遮断されて、システムが使えなくなる
• 最初は、**検知のみ(遮断しない)**で運用し、誤検知を確認してから、遮断に切り替える

② 見逃し

• 新しい手口は、パターンにないため、見逃すことがある
• 暗号化された通信の中身は、そのままでは見えない

③ 運用が必要

• アラートを見て、本物かどうかを判断する人が必要
• パターンの更新を、続ける必要がある
• IPSは、通信の通り道に置くため、故障すると、通信が止まるおそれがある(障害時の動き方を、設計しておく)

運用の人手が足りない場合は、監視を専門の会社に任せるサービスもあります(EDRとはの、MDRの説明も参考になります)。

最近の傾向

IDS/IPSは、単独の製品としてだけでなく、ファイアウォールの機能の一部(次世代ファイアウォールなど)として、組み込まれていることがあります。名前が変わっても、「通信のパターンを見て、攻撃を検知・遮断する」という考え方は、今も使われています。

まとめ

• IDSは攻撃を検知して知らせる、IPSは検知して遮断する
• IDSは通信のコピーを見張り、IPSは通信の通り道に置く。IPSは誤検知で、正常な通信も止めるおそれがある
• ファイアウォールはIPアドレス・ポート番号、IDS/IPSは通信のパターン、WAFはWebの中身、EDRは端末の動きを見る。組み合わせて使う
• 入れただけでは守れない。誤検知の調整と、アラートへの対応が必要

関連記事:ファイアウォールとは、WAFとは、EDRとは、脆弱性診断とペネトレーションテストの違い、ゼロトラストとは