IDS/IPS とは？

IDSは「不正な通信を発見して警告する」だけで通信を止めない。IPSは「発見したら自動で遮断する」まで行う。監視員と警備員の違いみたいなイメージだよ。

IPSのほうが自動対応できて速いけど、誤検知があると正常な通信まで止めてしまうリスクがある。重要な業務システムへの影響が大きい場合は、最初はIDSで監視・チューニングして、安定したらIPSに切り替えるという手順をとることも多いよ。

ファイアウォールは「許可・拒否のルール」で通信を制御するけど、IDSとIPSは通信の「内容・パターン」を分析して攻撃かどうかを判断するんだ。ファイアウォールで許可している通信の中に隠れた攻撃も、IDS/IPSは検知できる場合があるよ。

「通常とは違う行動」を攻撃のサインとして検知する方法だよ。例えば深夜に大量のデータが送信されている、普段アクセスしないサーバへ突然アクセスしているなど、ベースラインから外れた挙動を検知する。新しい攻撃にも対応できる反面、誤検知が多くなりやすい課題があるんだ。

NIDS/NIPS（ネットワーク型）はネットワーク上を流れるパケットを監視するもので、HIDS/HIPS（ホスト型）は個々のサーバやPCにインストールしてそのシステム内の動作を監視するものだよ。HIDS/HIPSはログやファイルの変更・プロセスの動作なども監視できるから内部の不審な動作を検知しやすい。NIDSとHIDSを組み合わせた多層防御が理想なんだけど、ログが膨大になるため管理の複雑さとトレードオフになることが多いんだ。