侵入防止システム（IPS）の種類とは？主要な5つのタイプを徹底解説

侵入防止システム（IPS：Intrusion Prevention System）には、複数の種類が存在します。それぞれの仕組みや特徴、得意とする攻撃への対応が異なるため、自社の環境に適したタイプを選ぶことが重要です。ここでは、代表的な5つのタイプを詳しく解説します。

ホスト型IPS（HIPS）

ホスト型IPS（HIPS）は、侵入防止アプリケーションが特定のIPアドレス上、一般的には単一のデバイス上に直接インストールされるタイプです。HIPSは、従来のフィンガープリントベースやヒューリスティックなアンチウイルス検出手法を補完する役割を果たし、新種のマルウェアに対応するために継続的なアップデートを必要としない点が特徴です。

ただし、現在のHIPSにはシステムリソースを大量に消費するという欠点があります。ファイアウォール、システムレベルのアクション制御、サンドボックス機能を従来のアンチウイルス（AV）製品の上に統合し、一体的な防御網を構築しているためです。

このような包括的な保護は、カフェや空港のWi-Fiネットワークなど、信頼できない環境で頻繁に使用されるノートパソコンにとっては有効な選択肢です。しかし、強固な防御はバッテリー寿命に負担をかけ、HIPSの保護機能と従来のAV製品がPC上のすべてのファイルを大規模なブラックリストと照合してマルウェアかどうかを確認するため、コンピュータ全体の応答性が明確に低下する可能性があります。

一方、HIPSをホワイトリスティング技術を採用したAV製品と組み合わせれば、コンピュータ上の一部のアプリケーションが信頼済み（ホワイトリスト登録済み）として扱われるため、必要なシステムリソースを大幅に削減できます。この場合、HIPSは従来のアンチウイルス製品に代わる正当な選択肢となり得ます。

ネットワーク型IPS（NIPS）

ネットワーク型IPS（NIPS）は、IPSアプリケーションと侵入防止のための処理が、ネットワーク上の複数のIPアドレスを持つホストから実行されるタイプです。

ネットワーク侵入防止システムは、セキュリティ関連のイベントを分析・識別・記録することを目的とした専用のハードウェア／ソフトウェアプラットフォームです。NIPSはトラフィックを検査するように設計されており、設定内容やセキュリティポリシーに応じて、悪意のあるトラフィックを遮断（ドロップ）することができます。

コンテンツ型IPS（CBIPS）

コンテンツ型IPS（CBIPS）は、ネットワークパケットの内容を、「シグネチャ」と呼ばれる特定のパターン（シーケンス）と照合してチェックします。これにより、ワーム感染やハッキングなど、既知のタイプの攻撃を識別し、防止することが可能です。

プロトコル分析

IDS/IPS技術における重要な発展のひとつが、プロトコルアナライザの導入です。プロトコルアナライザは、HTTPやFTPといったアプリケーション層のネットワークプロトコルを本質的にデコードできます。プロトコルが完全にデコードされるため、IPSの分析エンジンは、プロトコルの複数の要素について異常な動作やエクスプロイト（脆弱性攻撃）の有無を判定できます。

レート型IPS（RBIPS）

レート型IPS（RBIPS）は、主にDoS（サービス拒否）攻撃やDDoS（分散型サービス拒否）攻撃を防ぐために設計されています。通常のネットワーク動作を監視・学習することで機能し、TCP、UDP、ARPパケットといった特定の種類のトラフィック、1秒あたりの接続数、接続あたりのパケット数、特定のポート宛てのパケット数など、異常なレートを検出できます。

まとめ

侵入防止システムには、ホスト型（HIPS）、ネットワーク型（NIPS）、コンテンツ型（CBIPS）、プロトコル分析、レート型（RBIPS）といった多様なタイプがあります。それぞれの特徴を理解し、運用環境や脅威の種類に応じて適切なIPSを選択・組み合わせることが、効果的なセキュリティ対策への第一歩となります。