ネットワークセキュリティにおける侵入検知（IDS）とは？仕組み・種類・IPSとの違いを徹底解説

ネットワークセキュリティにおける侵入検知（IDS）とは

侵入検知システム（IDS：Intrusion Detection System）は、ネットワークやコンピュータへの不正アクセスや攻撃の兆候を監視・検出するセキュリティ技術です。IDSは、標的となるアプリケーションやコンピュータの脆弱性を悪用しようとする動きをいち早く察知し、管理者に警告を発することで、被害が拡大する前の対応を可能にします。

侵入検知システムの仕組み

IDSは、ハッカーがネットワークに実際の損害を与える前に、その攻撃を検知することを目的としています。導入形態には、ネットワーク全体を監視する「ネットワークベース」と、個々のサーバーや端末を監視する「ホストベース」の2つがあります。

システム管理者は、既知の攻撃パターンである「シグネチャ（攻撃署名）」や、通常の通信から逸脱した異常なアクティビティの兆候を探すことで、侵入を検出します。多くのIDSはリッスンオンリー（受動的な監視のみ）のデバイスとして動作し、トラフィックの流れを分析して不正な活動やポリシー違反を検出するとアラートを送信します。

IDSの主な機能

IDSの役割は、不正な活動を検出し、ログとして記録し、その内容を通知することです。帯域外（Out-of-Band）検出方式によって管理者へアラートを送り、迅速な対応を支援します。

侵入検知システムの種類

IDSには複数の分類があります。

• NIDS（ネットワーク型侵入検知システム）：ネットワークインフラ上の戦略的なポイント、特に攻撃や悪用を受けやすい箇所に配置され、そこを通過する内向き・外向きのトラフィックを監視します。
• HIDS（ホスト型侵入検知システム）：エンドポイントからデータを収集し、OSの重要ファイルなどを監視します。
• 境界型侵入検知システム：ネットワークの境界部分で侵入を検出します。
• 仮想マシンベースの侵入検知システム：仮想化環境向けの検知方式です。

また、検出手法の観点では、既知の攻撃パターンと照合する「シグネチャ検知」と、正常な挙動からの逸脱を検出する「アノマリー（異常）検知」に大別されます。

IDSとIPSの違い

IPS（侵入防止システム：Intrusion Prevention System）は、トラフィックを検査・分類し、悪意のあるトラフィックが被害をもたらす前に能動的に遮断する装置です。一方、IDSはトラフィックの流れを監視し、悪意ある活動やポリシー違反を検出した際にアラートを送ることを主な役割とします。

IPSは転送されるネットワークトラフィックをスキャンし、シグネチャデータベースとの継続的な照合によって既知の攻撃パターンを識別します。IPSは主に以下のように分類されます。

• NIPS（ネットワーク型侵入防止システム）：プロトコルの動作を分析し、ネットワーク全体の不審なトラフィックを検出します。
• WIPS（無線型侵入防止システム）：無線LAN環境を対象とした防止システムです。
• HIPS（ホスト型侵入防止システム）：個々のホストを保護します。
• 動作解析型：振る舞いの異常から脅威を検出する方式です。

ファイアウォールとの違い

ファイアウォールは、あらかじめ設定されたルールに基づいて不正なアクセスをブロックし、許可されたアクセスだけを通過させる仕組みです。接続を遮断するのは主にファイアウォールの役割であり、IDSは検知と警告が中心となります。両者を組み合わせることで、多層的な防御体制を構築できます。

IDSの具体例（代表製品）

代表的なIDS製品・ツールには以下のようなものがあります。

• SolarWinds Security Event Manager
• Snort（オープンソースの定番IDS）
• Suricata
• Cisco Stealthwatch
• TippingPoint

IDSの検出例

例えば、トラフィック規制ポリシーによって、ネットワーク上で急増するTCP接続などの不審なトラフィックを追跡できます。また、特定のIPv6アドレスやアドレス範囲、全ポートに対して限定的なIPオプションを狙う攻撃を検出するポリシーを設定することも可能です。

IDSとIPS、どちらを使うべきか

IDSは実際の侵入を確実に検知できる一方、IPSは侵入の試み自体をブロックします。ただし、これらのツールの真価はそれだけにとどまりません。より高度な制御性と可視性を提供してくれる点こそが、導入する大きな価値といえます。検知重視ならIDS、即時遮断重視ならIPSを選ぶのが基本ですが、両方を併用するケースも少なくありません。

まとめ

侵入検知システム（IDS）は、企業ネットワークへの不正アクセスのリスクを最小化するための重要なセキュリティソリューションです。ネットワークを常時分析し、不審なアクティビティを検出してアラートを発することで、被害を未然に防ぐための初動対応を支えます。ファイアウォールやIPSと組み合わせて活用することで、より堅牢なセキュリティ体制を実現できます。