侵入検知の仕組みを解説：不正アクセスはどのように検出されるのか？

なぜ侵入検知が重要なのか

コンピュータシステムと情報のセキュリティは、常に脅威にさらされています。ウェブの急速な拡大に伴い、ネットワークへの侵入や攻撃に使われるツールや手法が容易に入手できるようになったことで、侵入検知はネットワーク管理における重要な要素となっています。

「侵入」とは、ネットワークリソース（ユーザーアカウント、ファイルシステム、システムカーネルなど）の完全性、機密性、可用性を脅かす一連のイベントとして定義されます。

誤用検知（ミスユース検知）の仕組み

一部の商用侵入検知システム（IDS）は機能が限定的で、包括的なソリューションを提供していない場合があります。こうしたシステムの多くは「誤用検知（ミスユース検知）」と呼ばれるアプローチを採用しています。誤用検知では、既知の侵入シナリオに対応するプログラムやユーザーの行動パターンを検索します。これらのパターンは「シグネチャ」として保存されています。

手作業で作成されたシグネチャは、侵入手法に関する豊富な知識を持つ専門家によって、多大な労力をかけて維持・管理されています。パターンの一致が検出されるとアラームが生成され、セキュリティアナリストがそのアラームを分析して対応を判断します。具体的には、システムの一部をシャットダウンする、不審なトラフィックについて関連するWebサービスプロバイダに警告する、あるいは異常なトラフィックを将来の参考として記録する、といった対応が考えられます。

誤用検知の限界

大規模で複雑なネットワークを対象とする侵入検知システムは、1日に数千から数百万件のアラームを生成することがあり、セキュリティアナリストにとって大きな負担となります。また、システムは静的なものではないため、新しいソフトウェアバージョンの登場やネットワーク構成の変更があれば、そのたびにシグネチャを更新する必要があります。

誤用検知の最大の限界は、シグネチャに一致する事例しか検出できないという点です。つまり、新しい、あるいは過去に未知だった侵入手法を検出することができません。

異常検知（アノマリー検知）の仕組み

新規の侵入を発見するには、「異常検知（アノマリー検知）」と呼ばれる手法が有効です。異常検知では、正常なネットワーク動作のモデル（「プロファイル」と呼ばれます）を構築し、プロファイルから大きく逸脱する新しいパターンを検出します。こうした逸脱は、実際の侵入を示している場合もあれば、単にプロファイルに追加すべき新しい正常な動作である場合もあります。

異常検知のメリットと課題

異常検知の最大の利点は、まだ観測されたことのない新規の侵入を検出できる点にあります。ただし、一般的には人間のアナリストが逸脱データを精査し、どれが実際の侵入に該当するのかを判断する必要があります。

異常検知における決定的な課題は、高い偽陽性（誤検知）率です。一方で、異常検知によって発見された新しい侵入パターンは、誤用検知用のシグネチャセットに追加することも可能です。

このように、誤用検知と異常検知はそれぞれ異なる強みと弱みを持っており、両者を組み合わせたハイブリッド型のアプローチが、より堅牢なセキュリティ体制の構築につながります。