侵入防止システム（IPS）とは？仕組みとIDSとの違いを徹底解説

侵入防止システム（IPS：Intrusion Prevention System）は、ネットワークが備えるべき最も重要なセキュリティ対策のひとつです。IPSは「制御システム」に分類される技術で、ネットワークシステムやそのインフラへの潜在的な脅威を検知するだけでなく、脅威となりうる接続を能動的にブロックします。これは、侵入検知システム（IDS）のような受動的な防御とは大きく異なる点です。

IPS技術とは？

侵入防止システムはネットワークトラフィックを常時監視し、特に個々のパケットレベルで悪意ある攻撃の兆候を探します。パケットに関する情報を収集してシステム管理者に報告するとともに、IPS自身も予防的な措置を講じます。マルウェアやその他の悪意ある攻撃の可能性を検知した場合、そのパケットがネットワークにアクセスするのをブロックします。

さらに、繰り返し悪用される恐れのあるセキュリティ上の抜け穴を塞ぐなどの対策も行います。ネットワークへのアクセスポイントを閉鎖したり、今後同種の攻撃を検知できるようセカンダリファイアウォールを設定したりすることで、ネットワークの防御に多層的なセキュリティを追加します。

IPSが防げる攻撃の種類

侵入防止システムは、さまざまな悪意ある攻撃を検知・防御できます。DoS攻撃（サービス拒否攻撃）、DDoS攻撃（分散型サービス拒否攻撃）、エクスプロイトキット、ワーム、コンピュータウイルスなど、多種多様なマルウェアを検知してブロックする能力を備えています。

攻撃を検知したときIPSは何をする？

侵入防止システムは、パケットを解析して特定のマルウェアシグネチャを探すことでさまざまな攻撃を検知します。それに加えて、ネットワーク上の異常なアクティビティを検出する振る舞い検知を活用したり、管理用のセキュリティプロトコルやポリシー、その違反の有無を監視したりすることもあります。

これらの検知方法によって攻撃の可能性が発見されると、IPSはその攻撃元との接続を即座に切断できます。設定によっては、攻撃元のIPアドレスをブロックしたり、関連するユーザーによるネットワークおよび接続リソースへのアクセスを永久に禁止したりすることも可能です。

さらに、IPSは同種の攻撃に備えてローカルファイアウォールの設定を変更することもあります。また、ファイルサーバーやメールサーバーから、マルウェアに感染したヘッダーや添付ファイル、悪意あるリンクなどを除去し、攻撃の痕跡を取り除くこともあります。

IDSとIPSの違い

侵入検知システム（IDS）と侵入防止システム（IPS）は、どちらもセキュリティ関連の技術ですが、その目的と手段はまったく異なります。

IDSとIPSには多くの種類があり、それぞれ動作が少し異なります。IDSには、ネットワーク内の戦略的なポイントに設置され、ネットワーク内で進行中の攻撃を検知するNIDS（ネットワーク型侵入検知システム）があります。一方、HIDS（ホスト型侵入検知システム）は個々のシステムやデバイス上で動作し、その特定のシステムとの間でやり取りされるネットワークアクティビティのみを監視します。

いずれの場合も、攻撃の可能性を発見したIDSはシステム管理者に通知します。

対照的に、IPSはIDSと同様の役割を果たしつつ（両者を併用すれば、より包括的なネットワーク監視が可能になります）、ネットワーク保護においてより能動的な役割を担います。攻撃を検知した際に管理者へ通知するだけでなく、システム、個別アカウント、ファイアウォールの抜け穴に対して強制的な対策を講じ、攻撃を確実にブロックし、関連するファイルをネットワークから除去します。

名前が示すとおり、侵入検知システムは攻撃の発生を知らせ、手動で対処できるようにするためのものです。一方、侵入防止システムは、攻撃からシステムを能動的に守り、ネットワークパラメータの調整を通じて将来の攻撃まで防ぐために設計されています。