IDS/IPS とは？

IDSは「不正な通信を発見して警告する」だけで通信を止めない。IPSは「発見したら自動で遮断する」まで行う。監視員と警備員の違いみたいなイメージだよ。

IPSのほうが自動対応できて速いけど、誤検知があると正常な通信まで止めてしまうリスクがある。重要な業務システムへの影響が大きい場合は、最初はIDSで監視・チューニングして、安定したらIPSに切り替えるという手順をとることも多いよ。

ファイアウォールは「許可・拒否のルール」で通信を制御するけど、IDSとIPSは通信の「内容・パターン」を分析して攻撃かどうかを判断するんだ。ファイアウォールで許可している通信の中に隠れた攻撃も、IDS/IPSは検知できる場合があるよ。

「通常とは違う行動」を攻撃のサインとして検知する方法だよ。例えば深夜に大量のデータが送信されている、普段アクセスしないサーバへ突然アクセスしているなど、ベースラインから外れた挙動を検知する。新しい攻撃にも対応できる反面、誤検知が多くなりやすい課題があるんだ。

NIDS/NIPS（ネットワーク型）はネットワーク上を流れるパケットを監視するもので、HIDS/HIPS（ホスト型）は個々のサーバやPCにインストールしてそのシステム内の動作を監視するものだよ。HIDS/HIPSはログやファイルの変更・プロセスの動作なども監視できるから内部の不審な動作を検知しやすい。NIDSとHIDSを組み合わせた多層防御が理想なんだけど、ログが膨大になるため管理の複雑さとトレードオフになることが多いんだ。

オープンソースで有名なのがSnortとSuricataだよ。Snortはシグネチャベースの老舗で、ルール定義が豊富に公開されているんだ。SuricataはSnortのルールと互換性を持ちつつ、マルチスレッド対応で高速処理できる。クラウドならAWS GuardDutyがAWSの脅威インテリジェンスと機械学習で不審なAWS操作を検知してくれる便利なサービスだよ。

そうだよ。既知の攻撃パターン（シグネチャ）をデータベース化しておいて、通信内容と照合するんだ。例えばSQLインジェクションの典型的な文字列や、特定のマルウェアが送るパケットのパターンを登録しておく。検知精度が高くて誤検知が少ない反面、シグネチャに登録されていない新しい攻撃（ゼロデイ）には対応できないという弱点があるんだね。

シグネチャ型では防ぐのが難しいんだ。まだ公開されていない脆弱性を突く攻撃はシグネチャが存在しないからね。アノマリ型であれば「通常と異なる挙動」として検知できることもあるけど、完全には防げないのが現実だよ。だからIDS/IPSを過信せず、WAFやEDRと組み合わせた多層防御が重要なんだね。

EDR（Endpoint Detection and Response）はPCやサーバなどのエンドポイント上でのプロセス・ファイル操作・通信などを継続的に記録して、攻撃を検知・対応するものだよ。IDS/IPSが主にネットワーク通信の監視なのに対して、EDRは端末内部の動きまで見る。侵入後の横展開や不審なプロセス起動なども追跡できるから、近年はEDRとSIEMを組み合わせた運用が主流になっているんだ。

SIEM（Security Information and Event Management）はサーバ・ネットワーク機器・IDS/IPS・EDRなど様々なシステムのログを一元集約して、相関分析するプラットフォームだよ。IDS/IPSが個別の通信で「怪しいパケット」を検知するのに対して、SIEMは複数のシステムのログを横断的に分析して「一連の攻撃の流れ」を見つけることができるんだ。

正常な業務通信を攻撃と誤認して遮断してしまうんだよ。例えばIPSが社内の重要システムへのアクセスをブロックしてしまったら、業務が止まってしまう。だから新しいルールを追加するときは最初はIDSモード（検知のみ）で運用して、誤検知がないか確認してからIPSモードに切り替えるのが安全な手順だね。チューニングは地味だけど運用の核心なんだ。

大きく2つのアプローチがあるよ。まずホワイトリスト方式で「このIPアドレスからのこのポートへのアクセスは正常」と除外ルールを追加する方法。もう一つはシグネチャの感度調整で、誤検知が多いルールの閾値を上げたり、特定の条件が重なったときだけアラートを出すように変更する方法だね。SnortならRuleレベルでの細かい調整ができるんだ。

個人でも使えるよ。SnortやSuricataはオープンソースで無料だし、自宅サーバや個人のラボ環境にも導入できる。ただ設定・チューニング・ログ管理にそれなりの知識と手間がかかるから、個人が本番で使うというよりはセキュリティ学習の環境として活用するケースが多いね。クラウド環境ならAWS GuardDutyのようなマネージドサービスの方が手軽に始められるよ。