IPSとは何ですか？

侵入防止システム（IPS）とは、ネットワークの境界部にインラインで導入されることが一般的であるネットワークセキュリティ対策の一種であり、シグネチャベースおよび異常検知ベースの検出手法を用いて、トラフィックを検査し、悪意のある活動や異常な活動を検知すると、パケットの破棄、接続のリセット、送信元IPアドレスのブロックなどを行い、自動的にそれらを遮断するものです。

主なポイント

• IPSは悪意のあるトラフィックをインラインで遮断しますが、IDSはそれを検知して警告を発するだけです。
• シグネチャベースと異常検知ベースの検知を組み合わせることで、既知の攻撃と新たな攻撃の両方を捕捉します。
• すべての流入点および流出点にIPSを導入することで、境界線で脅威を阻止します。
• VersaのIDPモジュールは、NGFWのアクセスポリシールール内で脆弱性プロファイルを適用します。
• 定義済みのプロファイルは幅広い脅威をカバーしており、カスタムプロファイルではSnort形式のシグネチャを追加できます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ IPS およびVersa · よくある質問

IPSはなぜ重要なのでしょうか？

Networks 既知の脆弱性や新たに発見された脆弱性に対するエクスプロイトの試みが絶え間なく発生しています。攻撃者はこれらの脆弱性を悪用して、データを盗み出したり、マルウェアを展開したり、システム内に侵入した後に横方向への移動を行ったりします。ポートやアドレスのみをチェックするファイアウォールでは、こうした動きを検知することはできません。ポリシーによってセッションが許可されていても、そのペイロードにエクスプロイトが仕込まれている可能性があるからです。IPSは、トラフィックそのものをラインレートで検査し、攻撃を検知した瞬間に即座に対応することで、この脆弱性を解消します。

予防と検知は、運用上の点で異なります。IDSは不審なアクティビティにフラグを立てて後で確認できるようにしますが、境界にインラインで配置されたIPSは、パケットを破棄したり、接続をリセットしたり、送信元を即座にブロックしたりします。この際、人間の介入は一切必要ありません。すべての流入・流出ポイントにIPSを導入することで、既知のエクスプロイトもゼロデイ攻撃も同様に阻止できます。一方、ファイアウォール内部に設置されたIDSセンサーは、すでに境界を越えてしまったアクティビティについて、チームに可視性を提供し続けます。

IPSとは何ですか？

IPS（侵入防止システム）は、侵入検知・防止（IDP）のうち、防止を担う部分です。これは、リアルタイムのトラフィックを脆弱性プロファイルと照合し、一致した場合には単にログに記録するだけでなく、設定された対処を実行します。この照合には2つの手法が用いられます。シグネチャベースの検知では、トラフィックを、定期的なセキュリティパッチで更新される既知の攻撃パターンのデータベースと照合します。一方、異常検知では、通常のトラフィックを基準として設定し、それからの逸脱を検知することで、まだシグネチャが存在しない攻撃も捕捉します。

物理的には、IPSはインライン配置されます。トラフィックはこのデバイスを経由するため、パケットが配信される前にブロックすることができますが、その一方で、デバイスがダウンした場合、それが単一障害点となってしまいます。対照的に、IDSは通常、スパンポートやネットワークタップから取得したトラフィックのミラーコピーを分析しますが、その代償として、パケットをブロックするのではなく、アラートを発信するのみとなります。

IPSの種類

脆弱性プロファイルは2つのカテゴリに分類されます。Versaのセキュリティ研究チームによって管理されている「事前定義済みプロファイル」がデフォルト設定となっています。これには、「Versa 推奨プロファイル」や、より簡素化された「Versa ブランチプロファイル」といった一般的なプロファイルが含まれており、CVSSスコアが付けられた脅威の広範な範囲を網羅しているほか、Windows、Linux、Mac OS、マルウェア、産業用制御プロトコル、および侵害後の横方向移動を対象としたプロファイルも用意されています。カスタムプロファイルを使用すると、管理者は、ベンダーのデータベースにまだ登録されていない脅威に対して、Snort形式のシグネチャをインポートしたり手動で記述したりすることができます。

対応アクションは第2の軸を構成し、ルールごとに設定可能です。具体的には、「アラートのみ」、「パケットの破棄」、「セッションの破棄」、「拒否」、あるいは「クライアント側またはサーバー側のリセット」などがあり、シグネチャに対する信頼度が高まるにつれて、監視のみの状態から完全なブロックまで適用レベルを調整できます。また、正常と確認されているトラフィックに対しては例外設定が可能です。

IPS &Versa

VersaのIDP機能は、VOSの統合脅威管理（UTM）の一部であり、脆弱性プロファイルとして設定され、NGFWのアクセスポリシールール内で適用されるため、IPSの適用がファイアウォール機能やアプリケーション識別と並行して、1回の処理で実行されます。管理者は通常、あらかじめ定義されたプロファイル（Versa 推奨プロファイル（RAM 16 GB以上）または小規模なサイト向けの軽量なVersa ブランチプロファイル（RAM 8 GB））から開始し、その上にオーバーライドプロファイルやカスタムSnortシグネチャプロファイルを重ねて適用することができます。 「侵入検知および防止（NGFW）の設定」または従来の設定ガイドを参照してください。

導入後、「Versa Director」はシグネチャのコンパイル状況を追跡し、「Versa Analytics」は、調査のためにブロックされた脅威、IDPログ、およびパケットキャプチャを表示します。

よくある質問

IDSとIPSの違いは何ですか？

IDSは、ミラーポートやネットワークタップから取得したトラフィックのコピーを監視し、トラフィックの流れに影響を与えることなく、不審なアクティビティを検知してアラートを発します。一方、IPSはネットワークの経路上に配置され、同じアクティビティを自動的にブロックします。具体的には、パケットを破棄したり、接続をリセットしたり、送信元をリアルタイムでブロックしたりします。

ネットワーク上で、IPSはどこに配置すべきでしょうか？

IPSは、企業のすべてのネットワーク出入口に導入すべきであり、脅威がネットワークに侵入したり、ネットワークから流出したりする前に完全に阻止します。ファイアウォール内部や重要な内部ノードに設置されたIDSセンサーは、すでに境界を越えてしまったアクティビティに関する可視性を高めます。

「シグネチャベースの検知」と「異常ベースの検知」の違いは何ですか？

シグネチャベースの検知では、トラフィックを既知の攻撃パターンのデータベースと照合します。このデータベースは、セキュリティパッケージを通じて定期的に更新されます。一方、異常検知では、通常のトラフィックを基準として設定し、そこから逸脱したものを検知します。これにより、シグネチャではまだ記述されていない新しい攻撃（ゼロデイ攻撃を含む）を検知することが可能になります。

IPSはゼロデイ攻撃を防ぐことができるのでしょうか？

ある程度はそうです。異常検知方式では、学習済みのベースラインから逸脱したトラフィックを認識することで、一致するシグネチャがなくてもゼロデイ攻撃を検知できます。一方、シグネチャベースの検知方式では、その攻撃に対するシグネチャが存在するまでゼロデイ攻撃を検知できないため、多くの導入事例では両方の手法を併用しています。

IPSはファイアウォールの代わりになるのでしょうか？

いいえ。ファイアウォールは、ゾーン、アドレス、およびアプリケーションに基づいて、どのセッションを許可するかを制御します。一方、IPSは、許可されたセッションのペイロードを検査し、エクスプロイトや異常がないかを確認します。Versaのアーキテクチャ では、IPSはNGFWポリシー内で適用される脆弱性プロファイルであり、ファイアウォールの代わりとなるのではなく、ファイアウォールと連携して機能します。

IPSに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

IPSについてお読みになっているなら、次はこれらもぜひチェックしてみてください。