IDSとは何ですか？

侵入検知システム（IDS）とは、ネットワークトラフィックのコピー（通常はスイッチのミラーポート、ハブ、またはネットワークタップから供給されるもの）を分析し、脆弱性や不適切・異常な活動の兆候がないかを調べ、トラフィック自体には一切干渉することなく、一致した場合はアラートを発するネットワークセキュリティ対策である。

主なポイント

• IDSは脅威を検知して警告を発しますが、IPSのように脅威をブロックすることはありません。
• ミラーポート、ネットワークタップ、またはハブを介してパッシブに導入します。インラインでの導入は絶対に避けてください。
• シグネチャベースと異常検知ベースの検知を組み合わせることで、既知の攻撃と新たな攻撃の両方を捕捉します。
• IDSセンサーに障害が発生しても、本番トラフィックの経路がそれに伴って停止することはありません。
• VersaのIDPモジュールは、1回の処理でIDSによる可視化とIPSによる対策機能を組み合わせたものです。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ IDSおよびVersa · よくある質問

IDSはなぜ重要なのでしょうか？

ファイアウォールは、ポート、アドレス、アプリケーションに基づいてどのセッションを許可するかを決定しますが、許可されたセッションの内容については一切判断しません。攻撃者が正当に見えるトラフィックの中にエクスプロイトを隠して送り込んでも、ペイロードを検査する仕組みがなければ、そのトラフィックは通過してしまいます。IDSはこの隙間を埋めます。IDSはトラフィックのコピーを監視し、既知の攻撃パターンに一致する、あるいはベースラインから逸脱した活動を検知してフラグを立てます。

IDSはインライン配置ではなくミラーリングされたコピーを検査するため、決して障害点になることはありません。センサーがダウンしても、トラフィックは引き続き流通します。この仕組みにより、内部への配置も現実的になります。ファイアウォール内部や重要なノードに設置されたセンサーは、すでに境界を越えてしまったアクティビティを検知します。これはまさに、横方向の移動が最初に表面化する場所です。ただし、IDSはアラートを発するのみであり、トラフィックを遮断するには、IPSなどのインライン制御機能との組み合わせが必要です。

IDSとは何ですか？

IDS（侵入検知システム）は、侵入検知・防止（IDP）のうち検知を担う部分であり、トラフィックを検査し、一致した場合はアラートを発するものの、それに対して直接的な対応を行うことはありません。通常、スイッチのミラーポート、ハブ、またはネットワークタップに接続されますが、まれにインライン配置されることもあり、その場合はフェイルセーフという利点を犠牲にすることになります。

マッチングには2つの手法が用いられます。シグネチャベースの検知は、トラフィックを既知の攻撃パターンのデータベースと照合します。一方、異常検知は、正常なトラフィックを基準として、そこから逸脱したものをフラグ付けすることで、まだシグネチャで記述されていない新しい攻撃を検知します。 アラートには標準的な用語が用いられます。「真陽性」とは正しく検知された実際の攻撃、「偽陽性」とは誤って検知された無害なトラフィック、「偽陰性」とは検知されずにすり抜けた攻撃を指し、それぞれがCVE（脆弱性ID）およびCVSS（深刻度）評価に基づいてスコア付けされます。

IDSの種類

導入範囲が主な軸となります。ネットワーク型IDS（NIDS）は、ミラーリングされたポート、ハブ、またはタップといった単一の監視ポイントからセグメント全体を監視し、そこを通過するすべてのセッションを監視します。一方、ホスト型IDS（HIDS）は、単一のエンドポイント上でエージェントとして動作し、そのシステムコール、ログ、およびファイル整合性の変化を監視します。これは、セグメント全体を対象とするNIDSでは得られない詳細な監視です。 多くの組織では、これらを併用しています。

配置は2つ目の軸となります。境界に設置されたIDSは、組織への流入・流出トラフィックを監視します。一方、ファイアウォール内部や重要なノードに設置されたセンサーは、すでにファイアウォールを通過したアクティビティ（偵察活動や侵害されたホストからのトラフィックなど）に関する可視性を高めます。これらは、境界のみの監視では見逃されてしまうものです。成熟した導入環境では、これら両方の配置を組み合わせています。

IDS &Versa

Versa VOSの侵入検知・防止（IDP）モジュールの一部としてIDSを提供しており、これはSecure SD-WAN の統合脅威管理（UTM）機能の一部です。Versa では、IDSとIPSのアプライアンスを個別に用意するのではなく、NGFWポリシールール内の単一の脆弱性プロファイルメカニズムを通じて両機能を実装しています。設定されたアクションによって動作が決まり、「Alert」のみを設定した場合はIDSとして動作し、「Drop」、「Reject」、または「Reset」を設定した場合はIPSとしての機能を発揮します。

管理者は通常、あらかじめ定義されたプロファイル（幅広い対応範囲をカバーする「Versa 推奨プロファイル（16 GB RAM）」、またはリソースに制約のあるブランチ向けの軽量な「Versa ブランチプロファイル（8 GB RAM）」）を起点とし、セキュリティパッケージ（SPacks）を通じて更新した後、その上にカスタムSnort形式のシグネチャを重ねて適用します。Directorはシグネチャのコンパイル状況を追跡し、Analyticsは脅威やIDPログを表示します。ワークフローについては、「侵入検知・防止（NGFW）の設定」または従来のガイドを参照してください。

よくある質問

IDSとIPSの違いは何ですか？

IDSは、ミラーポート、ハブ、またはタップから取得したトラフィックのコピーを監視し、トラフィックの流れに影響を与えることなく、不審な活動を検知して警告を発します。一方、IPSはトラフィックの経路に組み込まれ、パケットを破棄したり、接続をリセットしたり、送信元をブロックしたりして、自動的にトラフィックを遮断します。

ネットワーク内では、IDSはどこに導入されるのでしょうか？

最も一般的なのは、スイッチのミラーポートから、ハブに接続して、あるいはネットワークタップを介して、転送経路に位置することなくトラフィックのコピーを受信する方法です。また、ファイアウォール内部や重要なノードにもセンサーを設置するケースがよく見られます。

IDSは悪意のあるトラフィックを遮断しますか？

いいえ。IDSは検知のみを目的としています。トラフィックを検査し、シグネチャと一致した場合や通常のトラフィックのベースラインから逸脱した場合にアラートを発しますが、パケットを破棄したり、接続をリセットしたりすることはありません。ブロックを行うには、アナリストによる対応、あるいはIPSなどの連携したインライン制御が必要です。

センサーに障害が発生した場合、IDSによってネットワーク障害が生じることはありますか？

いいえ、これは設計上の仕様です。IDSはインライン配置ではなく、トラフィックのミラーコピーを分析するため、センサーがダウンしても本番環境の経路には影響がありません。スイッチベースの展開では、通常、このような障害に備えて、スイッチとデバイス間でキープアライブセッションが維持されます。

IDSのアラートにおいて、CVEやCVSSとはどのような意味ですか？

CVE（Common Vulnerabilities and Exposures）は、IDSシグネチャが対応付けられる、公に知られているセキュリティ脆弱性のデータベースです。CVSS（Common Vulnerability Scoring System）は、その脆弱性の深刻度を評価する指標です。アナリストはこれら2つを組み合わせて、どのアラートを優先的に調査すべきか、どのアラートは後回しにできるかを判断します。

IDSに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

IDSについてお読みになっているなら、次はこれらもぜひチェックしてみてください。