ネットワークセキュリティにおけるIPS（侵入防止システム）とは？仕組みと種類を徹底解説

ネットワークセキュリティにおけるIPSとは

IPS（Intrusion Prevention System：侵入防止システム）は、ネットワーク上を流れるトラフィックを常時監視し、悪意のある通信や既知の攻撃パターンを検知して、被害が発生する前に自動的に遮断するセキュリティ技術です。IDS（侵入検知システム）に防御機能を加えたもので、「IDPS（侵入検知・防止システム）」と呼ばれることもあります。

IPSは、ネットワークトラフィックを監視して不審な挙動を検知すると管理者に警告を発するだけでなく、パケットの破棄や接続のリセットによって悪意ある活動を即座にブロックし、マルウェアの拡散を防ぐことができます。

IPSの主な種類

ネットワーク型IPS（NIPS）

ネットワーク全体を流れるトラフィックを監視し、プロトコルの動作を分析することで不審な通信を検出します。センサーと呼ばれる監視デバイスを使ってリアルタイムに不正な活動を検知し、必要に応じて対処を行います。

ワイヤレス型IPS（WIPS）

無線LAN環境を対象としたIPSで、不正なアクセスポイントや無線経由の攻撃を検知・防止します。

ホスト型IPS（HIPS）

個々のサーバーや端末にインストールされ、そのホストへの侵入を検知・阻止します。エンドポイントセキュリティの一環として機能します。

IPSの仕組み

IPSは、ネットワークを通過するトラフィックをリアルタイムでスキャンし、シグネチャデータベースとの継続的な照合によって既知の攻撃パターンを特定します。悪意のあるパケットを検出すると、そのパケットを破棄するだけでなく、攻撃元のIPアドレスやポートからの通信を以後拒否するなど、即座に対処します。多くの実装では、検知した脅威を記録・報告し、被害が拡大する前の対策計画立案にも役立てられます。

主な検出方式

シグネチャベース検知

既知の攻撃パターン（シグネチャ）との照合により脅威を検出します。既知の攻撃に対して高い精度を発揮する、最も基本的かつ重要な方式です。

統計的アノマリー（異常）検知

通常のトラフィックの挙動を学習し、そこから逸脱した異常な通信を統計的に検出します。シグネチャベース検知と並ぶ重要な手法で、未知の攻撃にも対応できる可能性があります。

ファイアウォールやIDSとの違い

ファイアウォールはIPアドレス・ポート番号・プロトコルといった情報をもとに通信を許可またはブロックする一方、IPSは通信内容まで深く検査し、基準に該当する悪意のあるリクエストを破棄・警告・無害化できます。

また、IDSはあくまで「検知して通知」するのが役割ですが、IPSは検知に加えて自動的に遮断まで行える点が大きな違いです。IDSはIT担当者に攻撃の可能性や侵入を通知することで対応を促すのに対し、IPSは攻撃が始まるほぼ前に食い止めることが可能です。

IPSが必要とされる理由

脆弱性が公表されてからパッチ適用が完了するまでには、どうしても時間差が生じます。この「タイムラグ」の間にシステムを既知の攻撃から守るために、IPSは非常に有効です。特にブルートフォース攻撃、DoS攻撃、脆弱性を悪用した攻撃など、よく知られた手口による攻撃を未然に防ぐことができます。

IPSの配置場所

一般的に、IPSはネットワークの境界部分、たとえばファイアウォールの内側やサーバーの手前に設置されます。これにより、外部からの攻撃が内部システムに到達する前に検知・遮断できます。

代表的なIPS製品

市場にはさまざまなIPS製品が存在します。代表的なものとしては、CiscoのNGIPS（次世代IPS）、CorelightやZeek、Fidelis Network、FireEye、HillstoneのSシリーズ、MicrosoftのNetwork Security Platform、オープンソースのOSSECやSnortなどが挙げられます。

まとめ

IPSは、ネットワークトラフィックを監視し、悪意ある活動を検知して自動的にブロックすることで、サイバー攻撃の被害を最小限に抑える重要なセキュリティ技術です。IDSやファイアウォールと組み合わせて多層的に運用することで、より堅牢なネットワーク防御体制を実現できます。