IPS（Intrusion Prevention System）は、攻撃の兆候を検知し、通信の遮断などの防御動作を行う侵入防止システムです。「攻撃を見つけた後に何をするか」が、検知・通知を中心とするIDSとの違いです。
検知から防御までの流れ
| 段階 | 動作の例 |
|---|---|
| 検査 | 通信を解析し、攻撃の特徴を示すルールなどと照合 |
| 判断 | 該当する攻撃の兆候を検知 |
| 対応 | 設定に応じて通知、パケットの破棄、接続の遮断などを実施 |
製品がIPSでも、監視だけの設定では遮断しないことがあります。機能名だけでなく、動作モードと検知時の処理を確認する必要があります。
ネットワーク型IPSは通信経路上で検査
ネットワーク型IPSは、通信経路上に配置して通過する通信を検査する構成が代表的です。独立した装置のほか、ファイアウォールに統合される場合もあります。設置場所は守る範囲によって変わり、必ずファイアウォールの外側に置くものではありません。
検知できる範囲はルールと構成による
既知の攻撃の特徴を表すシグネチャなどを使います。検査できるプロトコル、暗号化通信の扱い、ルールの更新状況で検知範囲が変わります。IPSであらゆる攻撃を止められるわけではなく、大量通信で回線が埋まるDDoSなどには別の対策も必要です。
誤検知と検知漏れを区別
| 用語 | 意味 | 影響 |
|---|---|---|
| 誤検知 | 正常な通信を攻撃と判定 | 遮断すると業務やサービスを妨げる |
| 検知漏れ | 攻撃を正常と判断するなどで見逃す | 防御できず被害につながる可能性 |
ログを確認して検知対象と動作を調整します。検知したという事実だけで、すでに侵害されたとも、すべて防げたとも判断できません。
IDS・ファイアウォールとの役割分担
基本的なファイアウォールは必要な通信経路を絞り、IPSは攻撃の兆候を検査して防御します。次世代FWなどでは機能が統合される場合もあります。検知・通知との違いはIDSとIPSの比較記事で確認できます。
確認問題
IPSが攻撃の兆候を検知した場合、どの設定でも必ず通信を遮断するでしょうか？
解答・解説を見る
いいえ。監視のみ、通知のみの設定もあり、設定された動作に従います。防御する機能を備えることと、実際に遮断する運用になっていることを区別しましょう。
ネットワーク防御をnoteでまとめて復習
無料noteにはIDSとIPSの解説に加え、ファイアウォール・WAF・DMZの説明もあります。検知・遮断・通信制御の役割を比較し、セキュリティ用語をつなげて復習できます。
ほかの分野は資格・目的別のnote教材ナビから選べます。
コメント