IDS・IPSとは？

01IDS・IPSでできること・できないこと

IDS（Intrusion Detection System）は「侵入検知システム」、IPS（Intrusion Prevention System）は「侵入防止システム」のことです。どちらもネットワークを流れる通信を見張り、攻撃らしい通信を見つけるしくみです。

総務省は、IDSを、インターネットから届く通信を調べて不正な侵入や攻撃、その下調べを見つけ、メールや警報で管理者に知らせるシステムと説明しています。IPSは、IDSの働きに加えて、不正な通信を自動で止める機能を持ちます。

見つけ方には、既に知られている攻撃の特徴（シグネチャ）と照らし合わせる方法と、ふだんの通信の様子と比べて大きく外れたものを怪しむ方法があります。

できないこともあります。特徴がまだ知られていない新しい攻撃は見逃すことがあります。暗号化された通信の中身は、そのままでは調べにくくなります。正しいIDとパスワードでログインされた場合も、ふつうの通信と区別がつきにくくなります。

02どんな会社に必要か

社内のネットワークをインターネットにつないでいて、社内にサーバーやVPN機器を置いている会社は、外から届く攻撃の通信を止める手段があると安心です。中小企業では、IDS・IPSを単体の機器で入れるより、UTMや次世代ファイアウォールの機能の1つとして使うことが多くなっています。

守る場所によって向く道具が違います。通信のあて先や種類で通すか止めるかを決めるのはファイアウォール、Webサイトへの攻撃を止めるのはWAF、パソコンの中の動きを見るのはEDRです。IDS・IPSはその間で、ネットワークを流れる攻撃の通信を見張る役目です。

03選ぶとき・導入するときに見ること

• 攻撃の特徴のデータが自動で更新されるか。更新のための契約が切れると、新しい攻撃を見つけられなくなります。
• 止める設定にしたとき、業務に使う通信が誤って止まらないか。最初は知らせるだけの設定で様子を見て、問題がないものから止める設定に切りかえる方法があります。
• 警告を誰が見て、どう判断するか。見る人がいないと、IDSの知らせは役に立ちません。
• 通信量が増えても処理が追いつくか。IPSは通り道に入るため、処理が遅いとネットが遅くなります。

IDS・IPSの機能を持つ製品はUTM・ファイアウォールで比べられます。