侵入防止システム（IPS）とは？情報セキュリティにおける仕組みとIDSとの違いを解説

侵入防止システム（IPS）の基本概念

侵入防止システム（IPS：Intrusion Prevention System）は、ネットワークやシステムの活動を常時監視し、悪意のある動作や望ましくない振る舞いを検知した際に、それを遮断または回避できるネットワークセキュリティ装置です。単に脅威を「検知」するだけでなく、自動的に「防御」まで行える点が大きな特徴といえます。

ネットワーク型IPSの仕組み

ネットワーク型IPSは、ネットワーク上にインライン（直列）で配置され、通過するすべてのトラフィックを監視します。マルウェアや攻撃の兆候を検出すると、攻撃に関連するパケットだけを破棄し、正当な通信はそのまま通過させることができます。

この侵入防止技術は、従来の侵入検知システム（IDS：Intrusion Detection System）の発展形として位置づけられることが多いです。

IPSの歴史的背景

IPSは1990年代後半に登場しました。当時の受動的なネットワーク監視には曖昧さが残っており、その課題を解決するため、検知システムをインラインに配置する手法が採用されました。

初期のIPSは、ファイアウォールに対して防御コマンドを発行したり、ルーターのアクセス制御設定を変更したりできるIDSでした。しかしこの方式では、IDSが判断している間に攻撃が制御機構を通過してしまうという競合状態（レースコンディション）が発生し、運用面で不十分でした。そこで現在のように、検知から遮断までを一体的に行うインライン型IPSへと進化していきました。

従来のファイアウォールとの違い

インラインIPSは、ファイアウォール技術の発展形とも捉えられます。最大の相違点は、判断基準です。従来のファイアウォールがIPアドレスやポート番号といったネットワーク層の情報のみでアクセス制御を行っていたのに対し、IPSはアプリケーションの内容（ペイロード）に基づいてアクセス制御の判断が可能です。

また、多くのIPSはシグネチャ構造において宛先ポートを活用しており、分類マッピングの精度と効率を高めています。IPSが元々IDSの延長として生まれた経緯から、両者は今でも密接な関係を持っています。

ホスト型IPSとの補完関係

侵入防止システムは、ホストレベルでの二次的な防御手段としても機能し、潜在的に悪意あるイベントを拒否できます。ホスト型IPSにはネットワーク型IPSと比較してそれぞれ長所と短所があり、両者は競合ではなく相互補完的な関係として導入されるのが理想的です。

優れたIPSの条件

侵入防止システムは、誤検知（偽陽性）のコストを低く抑えるために、優れた侵入検知システムであることが求められます。さらに一部のIPSでは、バッファオーバーフローなどによる攻撃を含む、未知の攻撃まで防ぐことが可能です。

アクセス制御・アプリケーション層ファイアウォールとの混同に注意

ネットワークにおけるIPSの役割は、アクセス制御やアプリケーション層ファイアウォールと混同されがちですが、これらの技術には重要な違いがあります。表面的な類似点は多いものの、ネットワークやシステムのセキュリティへのアプローチ方法は本質的に異なります。

IPSは通常、ネットワーク上で完全に不可視で動作するよう設計されています。保護対象ネットワーク上でIPアドレスを持ちませんが、複数の方法でトラフィックに直接対応できます。主な対応策としては、パケットの破棄、接続のリセット、アラートの発報、さらには侵入者の隔離などが挙げられます。一部のIPS製品にはファイアウォールルールを実行する機能もありますが、これはあくまで利便性のためのものであり、製品の中核機能ではありません。

可視化による運用価値

さらに、IPS技術はネットワーク運用への深い洞察も提供します。過度にアクティブなホスト、不正なログオン試行、不適切なコンテンツなど、ネットワーク層およびアプリケーション層に関する有益なデータを収集・分析でき、セキュリティ対策全体の強化につながります。