IDS / IPS（侵入検知・防御）

どんな機器か

IDS / IPS は、ネットワークやホストを流れる通信を監視し、攻撃の兆候を見つける ための仕組みです。

• IDS（侵入検知システム）：脅威を 検知して管理者に通知 する。通信自体は止めず、気づきと記録に重きを置く。
• IPS（侵入防止システム）：検知に加えて その通信を自動的に遮断 する。通信経路上（インライン）に置かれる。

「見張り役」が IDS、「見張ったうえで止める役」が IPS、と捉えると分かりやすいです。

どう動くのか

検知方式は大きく 2 つあります。

• シグネチャ検知：既知の攻撃パターン（定義）と通信を照合する。既知の脅威に強いが、未知の攻撃には弱い。
• アノマリ（異常）検知：平常時の振る舞いを基準に、そこから外れた通信を疑う。未知の兆候も拾えるが、誤検知が増えやすい。

IPS はこれらで「悪い」と判断した通信をその場でドロップします。

似た機器との違い

ファイアウォールとの役割分担が要点です。

• FW：IP・ポート・セッション状態を見て「通す/止める」を判断する。いわば入口の門番。
• IDS/IPS：通った通信の中身（ペイロード） を見て、その中に攻撃の兆候がないかを調べる。門を通過した荷物の中身検査にあたる。

両者は競合ではなく補完関係で、近年は NGFW に IPS 機能が統合される傾向 にあります。

設計・運用のポイント

• 誤検知（フォールスポジティブ）の調整：初期はノイズが多い。自環境に合わせてシグネチャの取捨や閾値を継続的にチューニングする必要がある。
• 暗号化通信の限界：TLS で暗号化された通信は、復号しない限り中身が見えない。検査には SSL インスペクションとの組み合わせを検討する。
• 配置：IPS はインライン（経路上）に置くため、遅延や障害が通信全体に影響しうる。可用性設計が重要。

製品を選ぶときの観点

• IDS 用途か IPS 用途か：通知中心か、自動遮断まで求めるか。
• 検知方式：シグネチャの更新頻度・品質、アノマリ検知の有無。
• 性能（スループット）：インライン設置でも遅延が許容範囲か。
• 統合性：単体製品か、NGFW・SIEM など他のセキュリティ基盤と連携できるか。