COLUMN

1.IDS・IPSとは

IDS、IPSはネットワークを監視し、異常アクセスを検知、防御するセキュリティシステムです。まずはそれぞれの概要と違いについて確認していきましょう。

1-1.IDS（Intrusion Detection System）とは

IDSは、Intrusion（＝侵入）をDetection（＝検知）する働きをすることから「不正侵入検知システム」と呼ばれています。ネットワーク上の通信を監視し、外部からの不正なアクセスやその兆候を検知した場合、管理者への通知を行います。

1-2.IPS（Intrusion Prevention System）とは

IPSは、Intrusion（＝侵入）をPrevention（＝防止）する働きをすることから「不正侵入防止システム」と呼ばれています。ネットワーク上の通信を監視し、外部からの不正なアクセスを検知し、ブロックします。

1-3.IDSとIPSの違い

IDSもIPSもシステムやネットワークの通信を監視し、不正アクセスなどの異常を検知する働きがあります。異常を検知した際、IDSは管理者への通知にとどまりますが、IPSは必要に応じて、通信の遮断を行います。つまり、異常検知に対しての防御機能を有しているかどうかがIDSとIPSの大きな違いとなります。

また、IDSとIPSでは、ネットワーク構成も異なります。IDSは、基本的に通信のコピーを監視し、異常を検知します。しかし、異常な通信をブロックする機能を持つIPSの場合は、通信経路の間に設置する必要があります。

なお昨今では、通信の遮断まで行えるIDS製品も数多くリリースされているため、IDSとIPSがほぼ同義で語られることもあります。

2.IDS・IPSの種類

IDS・IPSには監視方法、検知方法によってさまざま種類があります。

2-1.IDS・IPSの監視方法の種類

IDS・IPSはネットワークの監視方法と不正データの検知方法によって「ネットワーク型」「ホスト型」「クラウド型」の3種類に分類されます。それぞれの種類の特徴について詳しく解説します。

2-1-1.ネットワーク型

ネットワーク型は、ネットワークを流れる通信パケットの監視を行います。企業や組織のネットワークが集まるゲートウェイ付近に設置すれば、ネットワーク全体の監視が可能です。

ソフトウェアのインストール等の必要がないため、ホスト型と比較して導入負担が小さいのがメリットですが、ホストごとの細かな設定はできません。

2-1-2.ホスト型

ホスト型は、監視対象のサーバー上に設置され、通信により生成された受信データやログの監視を行います。不正侵入の検知はもちろん、ファイルの改ざんや暗号通信にも対応が可能です。

サーバーごとにソフトウェアをインストールするため、細かな設定ができる反面、ネットワーク型、クラウド型と比較すると、導入、運用に係る費用が高くなる傾向があります。

2-1-3.クラウド型

クラウド型は、クラウドサービスとしてIDS・IPSの仕組みを提供する形式を指します。クラウド上にIDS・IPSが設置されるため、ネットワーク設定変更や、新たなネットワークの構築等を行う必要がなく、スムーズな導入が可能です。

設定がシンプルで運用もしやすい反面、クラウドベンダーで発生した障害の影響を受けやすいなど業務依存が強くなってしまうというデメリットがあります。

2-2.IDS・IPSの検知方法の種類

IDS・IPSの検知方法には主に「シグネチャ型」と「アノマリ型」の2種類があります。それぞれの特徴について詳しく解説していきます。

以下2つの検知方法は、組み合わせて使用することでより大きな効果が期待できます。

2-2-1.シグネチャ型

シグネチャ型は、「不正検出」とも呼ばれ、あらかじめ不正な情報処理パターンを登録しておくことで、登録情報と一致する不正アクセスを検出する方法です。

誤検知が少なく、対象とする不正アクセスを確実に防げるというメリットがありますが、未知の不正アクセスに対応できない、新たな不正パターンが見つかるたびにリスト更新が必要というデメリットもあります。

2-2-2.アノマリ型

アノマリ型は、「異常検出」とも呼ばれ、あらかじめ正常な情報処理パターンを登録しておくことで、登録から外れた異常なアクセスを検出する方法です。未知の不正アクセスにも対応できる点がメリットですが、誤検知も多いため細かなチューニングが必要です。

IDS・IPSやその他セキュリティ対策に関するご相談など、NTT東日本では、幅広い皆さまのお悩みや課題にエンジニアが回答いたします。自社環境にあったサービス紹介をしてほしいなども含めお気軽にお問い合わせください。

3.IDS・IPSを導入するメリット

IDS・IPSを導入することで以下のメリットが期待できます。

• 従来のシステムでは見逃す攻撃を察知
• リアルタイムで検知・防御が可能
• 状況に応じて適切に対応できる

それぞれ詳しく解説します。

3-1.従来のシステムでは見逃す攻撃を察知

IDS・IPSは、ファイアウォールが対応できない攻撃の検知が可能です。ファイアウォールが監視するのは、通信の送信元と宛先のみで、内容の確認までは行いません。そのため、一見正常な送信元と宛先であれば、不正アクセスを許してしまう可能性があります。

IDS・IPSは、通信内容まで監視を行うため、ファイアウォールが見逃した不正アクセスの検知が可能です。

3-2.リアルタイムで検知・防御が可能

IDS・IPSの最大の強みは、リアルタイムで異常の検知や防御を行える点です。異常を検知したら即座に対応するため、アクセスデータの解析をして初めて不正アクセスが発覚するといった事態も防げます。

ウイルス感染や情報の抜き出しなど、大きな問題や損失を未然に防げる点はIDS・IPSの大きなメリットと言えるでしょう。

3-3.状況に応じて適切に対応できる

IDSは、異常を検知した場合、管理者へ通知を行います。そのため、システムを一時停止するか、暫定的な対策を行なったうえでサービス継続をするかなど、状況に応じて柔軟な対応を選択できます。

また、通信の遮断まで実行できるIPSを活用すれば、緊急性を要する攻撃にも迅速に対処できます。

4.IDS・IPSで検知・防御できる攻撃の種類

IDS・IPSは多くのサーバー攻撃を早期に検知し防御します。代表的な攻撃として挙げられるのは以下のとおりです。

• DoS攻撃（DDoS攻撃）
• バッファーオーバーフロー攻撃（BOF）
• SYNフラッド攻撃
• マルウェア感染

それぞれについて詳しく解説します。また、IDS・IPSでは検知、防御が難しいサイバー攻撃についても紹介しますので、こちらも参考にしてみてください。

4-1.DoS攻撃（DDoS攻撃）

DoS攻撃とは、大量のデータやアクセスをWebサイトやサーバーに送りつけるサイバー攻撃です。DoS攻撃を受けると、大量のデータやアクセスが集中し、Webサイトやサーバーに負荷がかかり、サーバーダウンやサービス停止などの事態が起こります。

DoS攻撃が1台のパソコンから行われるのに対し、DDoS攻撃は複数台のパソコンで一斉に攻撃を仕掛けてくるものを指します。複数のIPを使い攻撃を行うため、攻撃者の特定が難しく、防御もしにくいのが特徴です。

4-2.バッファオーバーフロー攻撃（BOF）

バッファオーバーフロー攻撃とは、許容量を超えるデータをWebサーバーに送りつけるサイバー攻撃です。バッファオーバーフロー攻撃を受けると、バッファと呼ばれるメモリ領域にデータが保存しきれず、オーバーフロー状態に陥ります。

オーバーフロー状態になると、システムの誤作動や停止、データ破壊などが起きる可能性があります。さらに、攻撃者により書き込まれた不正プログラムが実行されると、管理者権限の乗っ取り、他のサイバー攻撃の踏み台にされるなど、甚大な被害につながるケースもあります。

4-3.SYNフラッド攻撃

SYNフラッド攻撃とは、IPアドレスを偽装した大量の接続要求通信（SYNパケット）をサーバーに送りつけるサイバー攻撃です。DoS攻撃やDDoS攻撃の一種で、攻撃を受けるとサーバーへの負荷が増大し、サービス停止やサーバーダウンなどが起こります。

SYNパケットを受信すると、通常であればサーバー側がACKパケットを返信します。しかし、SYNフラッド攻撃を受けると、SYNパケットを受信してもサーバー側があえて返信に応じない状態となります。サーバーは応答待ちが続き、接続可能数を超えてしまうため、新規接続を受信できないという事態に陥ります。

4-4.マルウェア感染

マルウェア感染とは、悪意のあるソフトウェア（マルウェア）を送り込むサイバー攻撃です。送り込まれたマルウェアに感染してしまうと、データ破壊や個人情報・機密情報の抜き取り、感染をさらに広げるスパムメールの発信など、不正かつ有害な動作が実行されます。

マルウェアの代表格としては、ワームやトロイの木馬、ランサムウェアなどが挙げられます。

4-5.IDS・IPSでは検知・防御が難しい攻撃

IDS、IPSは上記のようなサイバー攻撃の検知、防御を得意とする一方、以下のようなWebアプリケーションに特化したサイバー攻撃の検知、防御は苦手としています。

• SQLインジェクション
• クロスサイトスクリプティング
• OSコマンドインジェクション

IDS・IPSはサーバーやネットワークなど広域の監視には優れていますが、より高い精度を求められる上記のような攻撃を受けた場合、十分な対応ができません。

そのため、Webアプリケーションのセキュリティを強化したい場合は、IDS・IPSだけでなくWAFの導入がおすすめです。

IDS・IPSやその他セキュリティ対策に関するご相談など、NTT東日本では、幅広い皆さまのお悩みや課題にエンジニアが回答いたします。自社環境にあったサービス紹介をしてほしいなども含めお気軽にお問い合わせください。

5.IDS・IPSと他のセキュリティツールとの関係性

セキュリティシステムにはIDS・IPSの他にも「WAF（Web Application Firewall）」「ファイアウォール（FW）」「UTM（Unified Threat Management）」などがあります。ここからは、それぞれのシステムとIDS・IPSの違いについて解説していきます。

5-1.IDS・IPSとWAF（Web Application Firewall）

WAFは、Webサイトを含めたWebアプリケーションへの攻撃を防ぐことに特化したセキュリティシステムです。

Webアプリケーション上のアクセスパターンを記録し、チェックすることで、通信の可否を判断します。そのため、OSやミドルウェア層への攻撃を得意とするIDS、IPSでは防げない、Webアプリケーションをターゲットとした攻撃（SQLインジェクション、クロスサイトスクリプティング、OSコマンドインジェクションなど）の検知、防御が可能です。

クッキーやパラメータの改ざんなどの攻撃にも強いため、特に顧客情報やクレジットカード情報などのセンシティブな情報のやりとりを要するWebサービスを提供している場合は、WAFの導入が効果的です。

5-2.IDS・IPSとファイアウォール（FW）

ファイアウォールは、不正アクセスやサイバー攻撃などから内部ネットワークを守るセキュリティシステムです。日本語では「防火壁」と訳され、外部ネットワーク（インターネット）と内部ネットワークの間に設置されます。

ファイアウォールは、通信の送信元と宛先（IPアドレス・ポート）を監視することで、通信の可否を判断します。通信の内容の精査までは行われないため、OSやWebサーバーの脆弱性を突いた攻撃に対応できないケースもあります。

一方でIDS・IPSは通信内容まで監視、照合を行うため、ファイアウォールだけでは防げないサイバー攻撃の検知・防御が可能です。

5-3.IDS・IPSとUTM（Unified Threat Management）

UTMは、さまざまな情報セキュリティシステムを集約したサービスです。日本語では「統合脅威管理」と訳され、その名の通り、IPS・IDS、ファイアウォール、ウイルス対策ソフトなどが1つの製品に統合されています。

複数のシステムがまとめて搭載されているため、効率的にセキュリティ対策を実施できる点がUTMの大きなメリットです。ただし、WAFの機能が搭載されていない製品が多い点や、ネットワークへの負荷がかかりやすい点には注意が必要です。

IDS・IPSやその他セキュリティ対策に関するご相談など、NTT東日本では、幅広い皆さまのお悩みや課題にエンジニアが回答いたします。自社環境にあったサービス紹介をしてほしいなども含めお気軽にお問い合わせください。

6.IDS・IPSの活用ならNTT東日本のSOCサービスをご利用ください

IDS、IPSの導入を検討しているものの、導入がスムーズにできるか不安な場合や、社内に適切に運用できる人材が不足しているなどのお悩みを抱えている方はぜひ、NTT東日本へご相談ください。

NTT東日本では、クラウド導入・運用サービスのカスタマイズオプションとして、トレンドマイクロ社のCloud One Workload Securityの監視・措置・運用代行サービスを提供しています。クラウド導入・運用サービスでは、IDS・IPSの侵入防御機能はもちろん、以下のセキュリティ機能もCloud One Workload Securityにて提供しています。

• 不正プログラム対策
• Webレピュテーション
• ファイアウォール
• 侵入防御（IPS/IDS）

管理サーバーは不要で、導入時に必要なソフトウェアのインストールを含めた設定代行も一貫してNTT東日本で実施するため、スムーズかつ安心安全にセキュリティサービスの導入が可能です。ご興味をお持ちの方は、まずはNTT東日本へお気軽にご相談ください。

7.IDS・IPSについてまとめ

サイバー攻撃の脅威から自社を守るためには、IDS・IPSをはじめとしたセキュリティシステムの導入が不可欠です。IDS・IPSは、幅広いサイバー攻撃の検知、防御が可能ですが、より強固なセキュリティ対策を講じるには、内部ネットワークを守るファイアウォール、Webアプリケーションを守るWAFなど、異なる守備範囲を持つツールを併用することがおすすめです。

NTT東日本では、トレンドマイクロ社の提供するセキュリティ製品「Cloud One- Workload Security™」の監視・措置・運用代行サービスを提供しています。設定から運用までワンストップで支援し、問い合わせや緊急時のサポート体制も充実しているので、安心安全にセキュリティシステムを導入できます。

興味がある方は、NTT東日本までお問い合わせください。