IDS/IPSとは？サーバーを攻撃から守るセキュリティシステムを説明します

みなさんIDS、IPSがなんだかご存知ですか？

インターネットに関わるサービスやシステムを利用しているなら、「セキュリティ対策」は無視できない重要な要素になっています。

「IDS」「IPS」はその中でも今や欠かせないものですが、具体的にどんな仕組みでどうセキュリティに関わるシステムなのか、良く分かっていないという方もいるかもしれません。

今回はIDSとIPSについて、分かりやすく説明したいと思います。

IDS/IPSとは

IDS

IDSとはIntrusion Detection Systemの略で、「不正侵入検知システム」です。

システムへ不正に侵入しようとする通信があるとそれを検知し、知らせてくれるシステムの事で、ネットワーク型とホスト型の２種類があります。

システムに不正アクセスが発生した場合に、システムへの経路であるネットワークを監視するか、到達地点であるサーバー（ホスト）で監視するかの違いになります。

ホスト型は比較的導入が楽である代わりに、複数台のサーバーを使用していたら、その全てにIDSを導入する必要があるといった違いがあるので、システム構成に合わせて使い分ける必要があります。

また、ネットワーク型ホスト型の違いとはまた別に、IDSには「シグネチャ型」と「アノマリ型」という種類もあります。これは不正アクセスをどのような方法で検知するかという違いになります。

仕組みと違いは次の通りです。

シグネチャ型

不正アクセスの特徴や傾向をあらかじめ登録しておき、類似したアクセスがあれば不正アクセスとして検知する方法です。ブラックリスト型の検知方法と言えます。

アノマリ型

正常なアクセスのパターンをあらかじめ登録しておき、正常なアクセスであれば通すという方法でシグネチャ型と比較するとより厳格な検知方法です。こちらはホワイトリスト型の検知方法と言えるでしょう。

どちらを使用するかは、システムに対する普段のアクセスのパターンをあらかじめ把握して、適切な設定をすることが必要になります。

IPS

IPSはIntrusion Prevention Systemの略で、「不正侵入防止システム」のことです。

IDSは不正なアクセスが発生するとそれを検知して、システム管理者への通知をするシステムですが、IPSは検知と同時に通信を遮断します。

IDSと同様にネットワーク型とホスト型があり、またシグネチャ型とアノマリ型があります。

不正なアクセスと疑わしい通信が発生した場合に、検知にとどまらず遮断するIPSは、遮断して問題ないとはっきりしているブラックリスト型のシグネチャ型での運用が効果的でしょう。

一方で、正常なパターンから外れた通信が発生した場合に、即遮断するのではなく検証の余地を残したIDSには、アノマリ型で運用することが多いようです。

もちろん、基本的に限られた種類の通信しかないはずのシステムであればIDS、IPSともにシグネチャ型で運用するなど導入するシステムに合わせて適切な設定を行う必要があります。

IDS/IPSの強み

システムのセキュリティを守るツールとしては、ファイアウォールやWAFなど様々なものがあります。

それぞれに強みや特徴があるので、それぞれを使い分けることが望ましいですが、中でもIDSとIPSはDos攻撃であったりSynフラッド攻撃、バッファオーバーフロー攻撃といった、通信の内容に問題はなくても異常な頻度で大量のアクセスを行い、サーバーに負荷をかけてシステム障害を発生させることを目的とした攻撃を防ぐことに適しています。

通信の内容に不正なプログラムやサーバーへの侵入を目的としたものが含まれていないか確認するWAFなどと組み合わせることで、様々な種類の攻撃を防ぐことが可能となります。