IDS/IPSとは何ですか？

侵入検知・防止（IDS/IPS）は、既知の攻撃シグネチャや異常な動作についてトラフィックを検査する2つのネットワークセキュリティ機能を組み合わせたものです。侵入検知システム（IDS）は、一致した項目をフラグ付けして確認を促し、侵入防止システム（IPS）は、エクスプロイトが成功する前に、パケットを破棄したり、セッションをリセットしたり、送信元をブロックしたりするなど、直ちに対処を行います。

主なポイント

• IDSは脅威を検知して警告を発し、IPSは脅威を検知してインラインでブロックします。
• シグネチャベースの検知は既知の攻撃を検知し、異常検知は新たな攻撃を検知します。
• 共通用語（CVE、CVSS、信頼度）を用いて、シグネチャの一致ごとにスコアを算出します。
• Versa VOSは、NGFWポリシー内の1つの脆弱性プロファイルメカニズムを通じて、両方を適用します。
• 「アラート」と「ドロップ／リジェクト／リセット」のいずれか1つのアクション設定を行うだけで、IDSモードからIPSモードに切り替わります。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ IDS/IPS およびVersa · よくある質問

IDS/IPSはなぜ重要なのでしょうか？

ファイアウォールは、ポート、アドレス、アプリケーションに基づいて許可するセッションを決定しますが、許可されたセッションがどのようなデータを伝送しているかについては一切判断しません。攻撃者はこの隙を突いて、ファイアウォールが決してブロックしないようなセッションの中に、エクスプロイトやマルウェアを隠して送り込みます。IDS/IPSは、ペイロードを検査し、既知の攻撃パターンや正常な動作の基準値と比較することでこの隙を塞ぎ、一致した場合はアラートを発するか、あるいは即座に阻止します。

検知と防止を組み合わせることが重要なのは、それぞれが互いの死角を補い合うからです。 検知のみ（トラフィックのミラーコピーを監視するIDS）では、障害発生のリスクは一切ありませんが、進行中の攻撃を阻止することはできません。一方、防御のみ（インラインに配置されたIPS）では即座にブロックできますが、センサーがダウンすると、そのトラフィック経路も機能しなくなる可能性があります。信頼度とCVSSの深刻度に基づいて両方を運用することで、チームは信頼度の高い脅威を自動的にブロックしつつ、不確実な一致についてはアナリストに振り分けることが可能になります。

IDS/IPSとは何ですか？

IDS/IPSとは、侵入検知および防止（IDP）の総称であり、ネットワークトラフィックを検査して脆弱性や異常な活動を検出し、それを報告（IDS）または遮断（IPS）する機能です。この照合には2つの手法が用いられます。シグネチャベースの検知は、トラフィックを既知の攻撃パターンのデータベースと照合するものであり、異常検知は通常のトラフィックを基準として設定し、それからの逸脱を検知することで、まだシグネチャで定義されていない攻撃を捕捉します。

すべてのマッチングは、共通の用語を用いて評価されます。真陽性とは、実際の攻撃が正しく検出されたものを指し、偽陽性とは、無害なトラフィックが誤って検出されたものを指し、偽陰性とは、検出されずに見逃されてしまったものを指します。各検出結果は、CVE（公開識別子）およびCVSSスコア（深刻度）に対応付けられ、各シグネチャには、攻撃とノイズをどの程度確実に区別できるかを示す信頼度評価が付与されています。

IDS/IPSの種類

IDS/IPSの適用方法には、2つのアプローチがあります。シグネチャベースの検知は、トラフィックを既知の攻撃パターンのデータベースと照合するもので、カタログ化された脅威に対しては正確ですが、シグネチャが存在しない限り検知できません。一方、異常検知は、正常なトラフィックを基準として設定し、統計的な逸脱を検知するもので、誤検知が増えるという代償を払う代わりに、ゼロデイ攻撃やこれまでに確認されていない攻撃を検知できます。多くの導入事例では、この2つの手法を併用しています。

2つ目の軸は応答モードです。「検知のみ（IDS）」モードでは、トラフィックのミラーコピーを検査してアラートを発信するのみで、転送経路には介入しないため、センサーの障害があっても本番トラフィックが中断されることはありません。一方、「防止（IPS）」モードでは、インラインに配置され、一致したトラフィックを即座にブロックします（パケットを破棄、セッションをリセット、または接続を拒否）。ただし、その代償として、トラフィック経路の一部となる必要があります。

IDS/IPS およびVersa

Versa VOSは、統合脅威管理サービスの一環として、侵入検知・防止（IDP）機能としてのIDS/IPSを提供しており、Secure SD-WAN およびNGFWのいずれの展開環境でも利用可能です。Versa では、個別のアプライアンスを使用するのではなく、NGFWのアクセスポリシールール内の単一の脆弱性プロファイルメカニズムを通じて両機能を実装しています。設定されたアクションによって動作が決まり、「Alert」のみを設定した場合はIDSとして動作し、「Drop」、「Reject」、または「Reset」を設定した場合はIPSとしての機能を発揮します。

管理者は通常、あらかじめ定義されたプロファイル（過去10年間に発見されたCVSS 6～10の脆弱性を網羅する「Versa 推奨プロファイル」、またはリソースに制約のあるブランチ向けの軽量な「Versa ブランチプロファイル」など）を起点とし、SPackを介して更新した後、その上にSnort形式のカスタムシグネチャを重ねていきます。Directorはシグネチャのコンパイル状況を追跡し、Analyticsは脅威やIDPログを表示します。「侵入検知および防止の設定」または「侵入検知および防止の設定（NGFW）」 を参照してください。

よくある質問

IDS/IPSとは何の略ですか？

IDS/IPSは、侵入検知システム（Intrusion Detection System）と侵入防止システム（Intrusion Prevention System）の略称であり、これらを合わせて侵入検知・防止（IDP）と呼ばれます。IDSはトラフィックを検査し、シグネチャに一致した場合にアラートを発します。一方、IPSはトラフィックを検査し、一致する脅威を、アナリストの介入なしに自動的にブロックします。

IDSとIPSの違いは何ですか？

IDSは、ミラーポートやネットワークタップから取得したトラフィックのコピーを監視し、トラフィックの流れに影響を与えることなく、不審なアクティビティを検知して警告を発します。一方、IPSは通信経路に組み込まれており、同じアクティビティを自動的にブロックします。具体的には、パケットを破棄したり、接続をリセットしたり、送信元をブロックしたりします。

「シグネチャベースの検知」と「異常ベースの検知」の違いは何ですか？

シグネチャベースの検知では、トラフィックを既知の攻撃パターンのデータベースと照合します。このデータベースは、VersaのSPacksなどのパッケージを通じて定期的に更新されます。異常検知では、通常のトラフィックを基準として設定し、そこから逸脱したものを検知することで、まだシグネチャで定義されていない新たな攻撃（ゼロデイ攻撃を含む）を捕捉することができます。

IDS/IPSのアラートにおいて、CVE、CVSS、および信頼度とは何を意味するのでしょうか？

CVE は既知の脆弱性を識別するための公開識別子であり、CVSS はその脆弱性の深刻度を 0 から 10 のスケールで評価します。信頼度（Confidence）は、シグネチャが実際の攻撃と無害なトラフィックをどの程度確実に区別できるかを示す指標であり、値が高いほど誤検知は減少しますが、その代償として境界線上のマッチを見逃すことになります。

Versa は、IDS/IPSをどのように実装しているのでしょうか？

Versa VOSは、NGFWのアクセスポリシールール内でIDS/IPSを脆弱性プロファイルとして適用し、ファイアウォール機能やアプリケーション識別機能と併せて1回の処理で実行します。設定されたアクション（アラート、ドロップ、リジェクト、またはリセット）によって、そのルールが検知として機能するか、防止として機能するかが決まります。

IDS/IPSに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

IDS/IPSについて調べているなら、次はこれらもぜひチェックしてみてください。