ネットワークセキュリティにおける侵入検知システム（IDS）とは？仕組みと種類を徹底解説

侵入検知システム（IDS）とは

侵入検知システム（IDS：Intrusion Detection System）は、ネットワークやシステムに対する悪意のある活動やポリシー違反を常時監視するセキュリティソリューションです。検知された不正活動に関するデータは、通常、SIEM（Security Information and Event Management）システムによって収集・報告され、セキュリティ運用の一環として活用されます。

IDSの仕組み

IDSの目的は、ハッカーがネットワークに実際の被害を与える前に攻撃を検知することです。導入形態には、ネットワーク全体を監視する「ネットワークベース」と、個々のサーバーや端末を監視する「ホストベース」の2種類があります。システム管理者は、既知の攻撃パターンを示す「攻撃シグネチャ」や、通常の活動からの逸脱（異常挙動）といった兆候を監視することで、侵入の痕跡を見つけ出します。

IDSの主な機能

IDSの基本的な役割は、不正な活動を検知・記録・通知することです。不審な通信や振る舞いを検出すると、帯域外（Out-of-Band）検知方式などを通じて管理者へアラートを送信し、迅速な対応を促します。

侵入検知システムの種類

IDSには、配置場所や監視対象に応じて以下のような種類があります。

• ネットワーク型侵入検知システム（NIDS）：ネットワークへの侵入を監視
• ホスト型侵入検知システム（HIDS）：個々のホストやOSの重要ファイルを監視
• 境界型侵入検知システム：ネットワーク境界部分での侵入を検知
• 仮想マシンベースの侵入検知システム：仮想化環境向けの監視

ネットワーク型IDS（NIDS）の仕組み

NIDSは、攻撃や悪用を受けやすい重要拠点など、ネットワークインフラ上の戦略的な位置に配置されます。その地点を通過するインバウンドおよびアウトバウンドのトラフィックを常時監視し、不審な通信を検出します。

おすすめの侵入検知システム

信頼性の高いIDS製品としては、以下が広く利用されています。

1. SolarWinds Security Event Manager（セキュリティイベント管理の定番）
2. Zeek（旧Bro）
3. OSSEC
4. Snort
5. Suricata

このほか、Security OnionやWIPS-NGなども有用な選択肢です。

侵入防止システム（IPS）とは

侵入防止システム（IPS：Intrusion Prevention System）は、潜在的な脅威を自動的に特定してブロックする機能を持ちます。IPSは検出したイベントをシステム管理者に報告し、アクセスポイントの閉鎖やファイアウォールの設置といった予防措置につなげることで、将来の脅威を未然に防ぎます。

IPSの種類

IPSは大きく4つのカテゴリに分類されます。

• ネットワーク型侵入防止システム（NIPS）：プロトコルの動作を分析し、ネットワーク全体の不審なトラフィックを検出
• 無線型侵入防止システム（WIPS）：無線LAN環境向けの保護
• ホスト型侵入防止システム（HIPS）：個々の端末やサーバーを保護
• ネットワーク挙動分析型（NBA）：トラフィックの異常な挙動から脅威を検出

IPSの仕組み

IPSは、ネットワークを経由するトラフィックをスキャンし、悪意のある活動や既知の攻撃パターンを検出します。ネットワークトラフィックを分析しながら、シグネチャデータベースと継続的に照合することで、既知の攻撃パターンを高精度に識別します。多くのIPS実装では、悪意のあるパケットをドロップするだけでなく、以後は攻撃元のIPアドレスやポートからのトラフィックを全面的に拒否することもあります。

ファイアウォールとIDS・IPSの違い

ファイアウォールは、インターネットと内部ネットワークの間に立つ典型的なバリアであり、事前に設定されたルールに基づいてトラフィックを許可または拒否します。一方、IDS/IPSはトラフィックのブロックやフィルタリングを行い、攻撃を検知して管理者に警告したり、設定に応じて自動的に防御したりします。また、IPSは次世代ファイアウォール（NGFW）の重要な構成要素でもあり、両者は補完関係にあるといえます。

IPSは本当に必要か

IPSが導入される主な理由は、既知の攻撃を確実に防ぐためです。脆弱性が公表されてからパッチを適用できるようになるまでの間など、システムに修正を施せない期間において、IPSは既知の攻撃を封じ込める強力な手段となります。特に、一般的またはよく知られたエクスプロイトを悪用する攻撃に対しては、その効果が顕著に現れます。

まとめ

IDSは、企業ネットワークへの不正アクセスのリスクを最小化するための中核的なセキュリティソリューションです。ハードウェアとソフトウェアの両方で実装でき、不審な活動を能動的に分析・検知・警告します。収集された情報はSOC（セキュリティオペレーションセンター）に報告され、さらなる分析と対策立案に活用されます。IDSとIPS、そしてファイアウォールを適切に組み合わせることが、多層防御の観点から非常に重要です。