ネットワークセキュリティのSDEEとは？Security Device Event Exchangeの意味とIPSの基礎知識

SDEEは何の略？

ネットワークセキュリティ分野で使われる「SDEE」は、Security Device Event Exchange（セキュリティデバイス・イベント・エクスチェンジ）の略称です。ファイアウォールやIPS（侵入防止システム）などのセキュリティ機器が発生させるイベント（ログやアラート）を、管理サーバーとの間でやり取りするための通信プロトコルを指します。

SDEEはもともとシスコシステムズ（Cisco）がセキュリティ機器間のイベント通知手段として開発したもので、2008年にはICSA（International Computer Security Association：国際コンピュータセキュリティ協会）によって、セキュリティデバイス間通信の標準規格として提案されました。

IPS（侵入防止システム）とは？

IPS（Intrusion Prevention System：侵入防止システム）は、ネットワーク上の脅威を検知し、それを自動的に阻止するネットワークセキュリティシステムです。不正なトラフィックを検出すると、システム管理者に通知するとともに、アクセスポイントの遮断やファイアウォール設定の変更といった予防措置を講じることで、将来の攻撃を未然に防ぎます。

IPSファイアウォールの仕組み

ネットワーク型IPSは、転送されるトラフィックを常時監視し、潜在的な攻撃や悪意ある活動を能動的にスキャンします。悪意があると判断されたパケットをドロップした後、その攻撃元のIPアドレスやポートに関連する以降の通信を遮断することも可能です。

IPSシグネチャとは？

IDS/IPSの文脈でいう「シグネチャ」とは、攻撃パターンを特徴づける特定の活動パターンやコードのことです。シグネチャは、パケットヘッダ情報やパケットの内容を一定の基準と照合するルールとして定義され、Ciscoのネットワーク型IDSの中核をなす技術でもあります。正常なネットワークの挙動と比較することで、異常な通信を識別します。

シグネチャベースの検知方式

IPSがエクスプロイト（脆弱性を突く攻撃）を検出する手法はいくつかありますが、最も一般的なのは「シグネチャベースの検知」と「統計的な異常検知」の2つです。シグネチャベースのアプローチでは、エクスプロイトのコードを一意に識別できるシグネチャの辞書を使用し、通過するトラフィックと照合します。IPSエンジンはネットワークトラフィックを解析し、内部のシグネチャデータベースとビットストリームを継続的に比較することで脅威を見つけ出します。

ファイアウォールとIPS/IDSの違い

ファイアウォールは通常、外部ネットワークと内部ネットワーク（LAN）を隔てる境界線として機能し、あらかじめ設定したルールに基づいて、許可または拒否するトラフィックを決定します。一方、IPS/IDSは攻撃者を検知してブロックしたり、設定に応じてシステム管理者へ警告を発したりする役割を担います。

次世代ファイアウォール（NGFW）では、他のセキュリティ対策と組み合わせたIPSが重要な必須要素となっています。パケットがセキュリティ脅威に分類された場合、IPSは作成済みのセキュリティプロファイルに従って、そのトラフィックを積極的に拒否します。

IPSファイアウォールは必要か？

既知の攻撃をブロックするだけでなく、IPSは未知の脅威からもネットワークを保護できます。特に、脆弱性の公表からパッチ適用完了までには時間差が生じるため、広く知られたエクスプロイトツールを使った既知の攻撃を防ぐ手段として、IPSは非常に有効なツールといえます。

IPSは何から守ってくれるのか？

IPSセキュリティソリューションは、ネットワーク上を流れる悪意のあるトラフィックによるマルウェア攻撃を阻止できます。対象のトラフィックが通常の通信と比べて異常であると識別できる場合や、既知の攻撃シグネチャと一致する場合には、多様な攻撃を検知・防御することが可能です。

FortiGateのIPSの仕組み

FortiOSの侵入防止システム（IPS）は、高い信頼性と低レイテンシーを実現しながら、高度な侵入検知・防止機能を提供します。侵入保護は通常、複数のIPSセンサーで構成され、それぞれのシグネチャに基づいた詳細な設定が可能です。任意のIPSセンサーをセキュリティポリシーに適用するだけで、すぐに運用を開始できます。

まとめ

SDEE（Security Device Event Exchange）は、セキュリティ機器が発生させるイベントを交換するためのプロトコルであり、Ciscoによって開発され、その後ICSAにより標準規格として提案されました。IPSと組み合わせることで、ネットワーク上の脅威をリアルタイムに検知・通知・遮断し、組織のセキュリティ体制を強化する重要な役割を果たします。