現代のネットワーク環境では、セキュリティ対応への強化がますます重要になっています。サーバーなどへの不正侵入やサイバー攻撃を検知あるいは防御するために、IDS(Intrusion Detection System/侵入検知システム)やIPS(Intrusion Prevention System/侵入防御システム)といったセキュリティシステムの活用は不可欠といえるでしょう。
この記事では、IDS/IPSの基本の仕組みを説明したうえで、このシステムがセキュリティ対策を強化するのにどう役立つかについて解説します。セキュリティの専門知識への理解を深めていきましょう。
1. IDS/IPSとは？
IDS/IPSは、いずれもソフトウェアやハードウェア(アプライアンス)として提供されており、現代のネットワークセキュリティの要として重要な役割を果たしています。
パーソナルファイアウォールのソフトウェアやUTM(Unified Threat Management)の一部として、またはクラウドサービスとして機能提供されていることもあります。これらが、どのようにセキュリティ向上に役立っているのかについて、理解しましょう。
1-1. IDSとは
IDSは「侵入検知システム」という名前のとおり、ネットワークやシステム内で不正なアクティビティが発生していないかを検出するための仕組みです。
ネットワークトラフィックを解析することで、潜在的な脅威や攻撃を識別し、不審な振る舞いを検知し、セキュリティ管理者に警告を通知します。その後は、セキュリティやサーバー、ネットワークなどの管理者がそれぞれ対応を行うことになるため、業務的な負担が発生してしまっていました。
ここで登場したのが、IPSです。
1-2. IPSとは
IPSは「侵入防御システム」とも呼ばれ、IDSに防御機能が付加されたシステムのことです。不正なパケットを検出するだけでなく、そのパケットを遮断します。不審な振る舞いの検知と、それに対する防御までを自動で実行するという機能を提供します。
IPSでは、攻撃をブロックする、危険なパケットを遮断するなどのアクションを取ることができ、ネットワークセキュリティを強化します。
1-3. IDS/IPSのメリット・デメリット
IDSとIPSは、いずれもネットワークセキュリティの向上に役立ちますが、それぞれメリットとデメリットがあります。
①IDSのメリット・デメリット
IDSのメリット・デメリットを確認しましょう。
・メリット：攻撃検出
ネットワーク内での異常なアクティビティを検出し、不正アクセスや攻撃を特定します。これにより、外部からのさまざまな攻撃からネットワークを保護します。
・メリット：アラート通知
不正アクティビティを検出すると、警告やアラートを生成し、セキュリティ管理者に通知します。これにより、適切な対策を講じるための情報が提供されます。
・メリット：監査
ネットワークトラフィックを監査し、セキュリティポリシーの違反やセキュリティイベントの記録を提供します。これはセキュリティ要件を満たすのに役立ちます。
・デメリット：誤検出
正常な動きを誤って異常なものと検出してしまう、誤検出のリスクがあります。逆に、異常なアクティビティを、正常なものとして検知することもありえるでしょう。
・デメリット：リアルタイム対応不可
攻撃を検出し通知までは行いますが、攻撃に対してリアルタイムで対策を講じることはできません。
②IPSのメリット・デメリット
IPSはIDSの機能を包含しているため、それ以外のメリット・デメリットを確認しておきましょう。
・メリット：攻撃への対処
攻撃を検出した後、自動的に防御対応を行います。これにより、攻撃者の行動を制御し、セキュリティインシデントの影響を軽減できます。
・メリット：リアルタイム対応
攻撃に対してリアルタイムで対策を実施でき、攻撃の被害を最小限に抑えます。
・デメリット：誤検出
IPSもIDS同様、誤検出のリスクがあります。正常なトラフィックを誤ってブロックしたり、不正な通信を許可したりしてしまうことが発生します。
・デメリット：パフォーマンスへの影響
常にトラフィックを監視し、パケットを検査して攻撃をブロックするため、ネットワークの遅延やパフォーマンスの低下を引き起こすことがあります。
IDSは主に攻撃の検出と警告に焦点を当て、IPSはさらに防御機能が追加されたものというイメージです。どちらもセキュリティ戦略においては重要なシステムであり、メリットとデメリットを理解し、適切に活用することが大切です。
2. IDS/IPSによるセキュリティ対策
IDS/IPSは、ネットワークセキュリティの重要な要素として広く利用されていますが、続いてセキュリティ対策の視点で解説していきます。
2-1. IDS/IPSによる不正パケットの検知
IDSとIPSによる不正なパケットの検知方法として、以下の2種類を使用しています。
1つがシグネチャベースの検出方法です。
これは、パケットに含まれる特定のパターンを検知する方法です。
既知の攻撃パターンをシグネチャとしてデータベースに登録しておき、監視しているネットワーク内に一致するものを検知したとき、不正なパケットと判断するものです。このアプローチは、既知の攻撃に対して非常に効果的ですが、新しい攻撃や変種に対しては有効ではありません。
もう1つはアノマリベースの検出方法です。
アノマリ(anomaly)とは、通常(nomal)とは異なるという意味であり、平常時のトラフィックのパターンを学習しておくことで、異常な振る舞いを検出しようというものです。
これにより、新しい攻撃やゼロデイ攻撃に対しても有効に機能しますが、誤検出のリスクは高まるため、設定と調整が必要となります。
なお、誤検知には、フォールスポジティブとフォールスネガティブの2つをあわせて理解しておきましょう。
・フォールスポジティブ
正常な動作を誤って不正と判断してしまうこと。通常のトラフィックを異常なものとしてブロックすることがあり、サービス提供に悪影響を及ぼす可能性があります。
・フォールスネガティブ
異常な動作を誤って正常と判断してしまうこと。悪意あるパケットなのに、正しい通信として許可してしまう可能性があり、セキュリティ面でリスクは高まります。
どちらも発生することが想定されるため、両方のバランスが必要となります。
2-2. IDS/IPSが防御できる攻撃とは
IDS/IPSは、さまざまな種類の攻撃からネットワークを保護することが可能です。たとえば、以下のような攻撃が考えられます。
・マルウェアの侵入：不正なファイルやコードがネットワークに侵入するのを防ぎます。
・ DDoS攻撃：大量なパケットによる攻撃を検知し、適切な対策を講じることで、サービスの可用性を保護します。
・不正なアクセス：不正なアクセスを検出し、侵入者をブロックします。
・セキュリティ違反：セキュリティポリシーの違反や機密情報の漏洩を検出し、対策を講じます。
2-3. ファイアウォール、WAFとの違い
IDS/IPSは、ファイアウォールやWebアプリケーションファイアウォール（WAF）と比較して、異なる役割を果たします。
ファイアウォールはネットワークトラフィックの制御とフィルタリングに焦点を当て、WAFはWebアプリケーションのセキュリティを強化します。一方、IDS/IPSは、ネットワーク内の不正なアクティビティを監視し、攻撃を検出および防御します。
これらのツールは、どれか1つを用意しておけばいいわけではありません。それぞれのメリット・デメリットを把握したうえで、組み合わせて活用することで、企業のセキュリティ戦略を構築することが重要となります。
まとめ
この記事では、IDS/IPSに焦点を当て、ネットワークセキュリティの向上にどのように貢献するかについて解説しました。いずれも現代のセキュリティ戦略において不可欠な要素であり、ネットワークを保護し、機密情報を守るための有力な仕組みとして活用できます。
セキュリティの脅威が日々増大するなかで、これらの技術を有効活用して、企業ネットワークを安全に守りましょう。