IDSとIPSの違いとは ― 侵入検知と侵入防止の仕組み

攻撃を見つけたとき、知らせるだけか、止めるところまでやるか。IDSとIPSの違いはこの1点です。IDSはネットワークや機器を監視して攻撃の兆候を見つけ、管理者に知らせます。IPSは攻撃を見つけたうえで、その攻撃を止めようとします。

ファイアウォールは、許可したポートあての通信を通します。その中に紛れた不正アクセスの兆候に気づくために、IDSやIPSを置きます。IDSはIntrusion Detection Systemの略で、侵入検知システムと訳します。IPSはIntrusion Prevention Systemの略で、侵入防止システムと訳します。

アメリカの国立標準技術研究所（NIST）の手引きSP 800-94も、違いはこの1点だけだとしています。検知した攻撃を成功させないように対応できるかどうかです。見つけた事象の記録、管理者への警告、報告書の作成は、IDSとIPSに共通の働きです。

IPSの止め方には、攻撃に使われている接続を切る方法や、攻撃元からの通信を遮断する方法があります。ファイアウォールなど別の機器の設定を変えて、攻撃元を締め出す方法もあります。

止められるかどうかは、機器をどこに置くかで決まります。IDSは、スイッチのミラーポートにつなぐ置き方が代表的です。ミラーポートは、スイッチを通る通信の写しを出すポートです。NISTの手引きでは、spanning portと呼んでいます。

IPSは、通信の経路の途中に入れます。この置き方をインラインと呼び、監視する通信は必ず機器を通ります。次の図で、置き方と流す通信を選べます。

どちらの構成でも、攻撃はファイアウォールを通っています。80番ポートは、Webサーバを公開するために許可しているからです。公開サーバは、社内LANと分けたDMZに置くのがふつうです。

写しを見るIDSは、攻撃を見つけても、本物の通信を自分で捨てることはできません。本物の通信は、IDSを通らずにWebサーバへ進むからです。NISTの手引きも、写しを見る置き方には通信が宛先に届くのを確実に止める方法が無いとしています。

写しを見る機器が、接続を切るパケットを送って攻撃を邪魔する方法もあります。ただし、NISTの手引きは、この方法は経路の途中に置く方法より効果が低いとしています。

IPSが故障したときと処理が追いつかないとき

インラインに置くと、すべての通信がIPSを通ります。このため、IPSが故障して通信を通せなくなると、その先への通信も止まります。IPSの処理が追いつかないときも、通信そのものが遅れたり落ちたりします。

NISTの手引きは、インラインの機器がパケットを捨てるとネットワークの可用性が損なわれると述べています。そこで、負荷が高いときのための機能を持つ機器を選ぶよう勧めています。一部の通信を詳しく調べずに通す機能や、優先度の低い通信を捨てる機能です。

写しを見るIDSが処理しきれないときは、一部のパケットを取りこぼします。通信は止まりませんが、取りこぼした中の攻撃を見逃すおそれがあります。2つの置き方の違いを表にまとめます。

IDSとIPSは、何を見るかによっても分かれます。ネットワークを流れる通信を見るものをネットワーク型、1台の機器の中を見るものをホスト型と呼びます。ここまでの図で見た構成は、どちらもネットワーク型です。

ネットワーク型は、外部との接続点など、ネットワークの境目に置くことが最も多いです。1台で、その区間を通る多くの機器あての通信を見られます。ただし、HTTPSやVPNのように暗号化された通信では、そのままだと中にある攻撃を検知できません。

そこで、VPN装置で復号した後の区間を見る位置に置いたり、ホスト型と組み合わせたりします。NISTの手引きは、この2つの方法を挙げています。HTTPSの通信を復号してから中身を検査できる製品もあります。

ホスト型は、守りたい機器にソフトウェアを入れて動かします。その機器の通信やログのほか、動いているプロセスやファイルの変更などを見ます。公開しているWebサーバや、重要な情報を持つサーバに入れることが最も多いです。

NISTの手引きは、このほかに無線LANの通信を見る型と、通信の流れを見る型も挙げています。全部で4つの型に分けています。通信の流れを見る型は、DDoS攻撃のような、ふだんと違う流れを生む攻撃を見つけるのに使います。

攻撃かどうかを決める方式は、大きく2つに分かれます。既知の攻撃のパターンと照らし合わせる方式をシグネチャ型と呼びます。ふだんの状態と比べて大きくずれた動きを見つける方式をアノマリ型と呼びます。異常検知型とも言います。

シグネチャ型：既知のパターンと照らし合わせる

シグネチャは、既知の攻撃に対応するパターンです。たとえば、特定の名前の添付ファイルが付いたメールは、あるマルウェアの特徴として登録できます。すでに知られた攻撃は、パターンとの一致でよく見つけられます。

一方で、パターンが無い新しい攻撃には反応しません。攻撃者がファイル名を1文字変えただけでも、一致しなくなります。新しい攻撃が見つかるたびに、シグネチャを更新する必要があります。

アノマリ型：ふだんとの違いを見つける

アノマリ型は、まずふだんの状態を記録します。たとえば、勤務時間中の通信量のうちWebの通信が占める割合や、1台あたりのログイン失敗の回数です。この記録はプロファイルと呼ばれ、数日から数週間の監視で作ります。

プロファイルから大きく外れた動きがあると、攻撃の疑いとして知らせます。パターンに頼らないので、まだ知られていない攻撃にも気づけます。ただし、月に1回だけの大きなデータ転送のように、正常でもふだんと違う作業は攻撃と判定されやすくなります。

NISTの手引きは、もう1つの方式として、プロトコルごとの正しい手順と比べる方式も挙げています。多くの製品は、これらの方式を組み合わせて使います。端末やファイルを調べてマルウェアを見つける方法は、ビヘイビア法とヒューリスティック法の記事で説明しています。

IDSとIPSの判定は、いつも正しいとは限りません。正常な通信を攻撃と判定する誤りをフォールスポジティブと呼び、誤検知とも言います。攻撃を攻撃と判定できない誤りはフォールスネガティブで、見逃しとも言います。

同じ誤りでも、IDSとIPSでは起きることが違います。次の4マスを押すと、それぞれで何が起きるかを確かめられます。

IPSの誤検知は、正常な利用者の通信を止めてしまいます。このためNISTの手引きは、止める動作を有効にする前に、模擬のモードで判定を確かめる方法を挙げています。止めたはずの場面を記録だけしておけば、正常な通信を誤って遮断する危険を減らせます。

誤検知と見逃しは、どちらも0にはできません。多くの場合、一方を減らすと他方が増えます。判定の精度を上げるように設定を調整することをチューニングと呼び、導入した後も続けます。

ネットワーク型のIDS・IPSが見つけるのは、通信の中に兆候が表れる攻撃です。NISTの手引きは、よく検知する事象として次のものを挙げています。IPSなら、見つけた攻撃を止めようとします。

• アプリケーション層の偵察と攻撃：バッファオーバーフロー、パスワードの推測、マルウェアの送り込み
• トランスポート層の偵察と攻撃：ポートスキャン、SYNフラッド
• ネットワーク層の偵察と攻撃：送信元IPアドレスの偽装、不正なIPヘッダの値
• 想定外のサービス：バックドア、許可していないサービスを動かす機器
• ポリシー違反：禁止したWebサイトやプロトコルの使用

一方で、次のような攻撃は見つけにくいか、見つけられません。見つけられなければ、IPSでも止められません。

• 暗号化されたままの通信の中の攻撃：前の節で説明したとおり、ネットワーク型からは中身が見えません
• シグネチャの無い攻撃：シグネチャ型は、未知の攻撃や既知の攻撃の変種の多くを見つけられません
• 1つずつは攻撃に見えない操作の組み合わせ：シグネチャ型は前の通信を覚えていないため、見つけられません
• センサーを通らない通信：境界に置いたIDS・IPSからは、ネットワークの中の機器どうしの通信の多くが見えません

最後の点について、NISTのSP 800-215は、境界の対策の多くが外との出入りの通信だけを見ていると指摘しています。SP 800-94も、多くの環境ではネットワーク型とホスト型を組み合わせる必要があるとしています。1つの型だけでは、ほかの型なら見つけられる事象を見逃すからです。

ファイアウォールは、IPアドレスとポート番号を決めたルールと照らして、通信を通すか捨てるかを決めます。許可したポートあての攻撃は、そのまま通します。IDSとIPSは、通ってきた通信の中身や機器の動きから、攻撃の兆候を探します。

WAFは、Webアプリへの攻撃を防ぐことに特化した仕組みです。SQLインジェクションやXSSのように、Webアプリの欠陥を突く通信を見つけて遮断します。IDSとIPSは、Webに限らず幅広い通信を対象にします。WAFがどう検査し、何を防げないかはWAFの記事にまとめました。

UTMは、ファイアウォールやマルウェア対策、侵入検知などの機能を1台にまとめた機器です。Unified Threat Managementの略で、統合脅威管理と訳します。次世代ファイアウォールも、IPSの機能を取り込んだファイアウォールです。

IDSやIPSの記録は、ログを集めて分析するSIEMに送ることもあります。ほかの機器のログと組み合わせて調べるためです。警告を受けた後に判断して対応するのは、CSIRTなどの組織です。

IPSの機能は、自社に置く機器だけでなく、クラウドのサービスとしても使えます。NISTのSP 800-215は、IPSの機能を持つ次世代ファイアウォールの置き方を3つ挙げています。データセンターに置く機器、クラウドの仮想マシンで動かすソフトウェア、クラウドのサービスです。

クラウドのサービスとして使う形を、FWaaSと呼びます。同じ文書は、次世代ファイアウォールの機能に、TLSの通信を復号して中身を検査する機能も挙げています。

ネットワークとセキュリティの機能をまとめて、クラウドのサービスとして使う形もあります。この形をSASEと呼び、ゼロトラストの記事でも名前を紹介しています。SP 800-215は、SASEの主な機能の1つに脅威の防止を挙げています。その中身は、監視、攻撃の情報の収集、対処です。

SP 800-215は、SASEの利点として、利用者がどこにいても同じセキュリティのルールを適用できることを挙げています。管理する物理的な機器を減らせることも、利点の1つです。

AWSでは、ログを分析して怪しい動きを知らせるAmazon GuardDutyが、IDSと同じく知らせる側のサービスです。

• NIST SP 800-94「Guide to Intrusion Detection and Prevention Systems (IDPS)」（定義・検知方式・種類・置き方・誤検知と見逃し）
• NIST SP 800-215「Guide to a Secure Enterprise Network Landscape」（境界の対策が見る通信の範囲、クラウドで使う形）
• IPA「産業用制御システム向け侵入検知製品の実装技術の調査 調査報告書」（検知方式と置き方の日本語での整理）