IDSは侵入や攻撃の兆候を検知・通知し、IPSは検知に加えて通信の遮断などを行います。Detection（検知）とPrevention（防止）の違いを、対応の流れと一緒に理解しましょう。
IDSとIPSの比較
| 比較項目 | IDS | IPS |
|---|---|---|
| 正式名称 | Intrusion Detection System | Intrusion Prevention System |
| 中心となる役割 | 検知・記録・通知 | 検知と防御動作 |
| ネットワーク型の代表的な構成 | 通信のコピーなどを監視 | 通信経路上で通過する通信を検査 |
| 対応の例 | 管理者へアラートを通知 | パケットの破棄や接続の遮断など |
表は基本的な役割の比較です。製品の連携機能や動作モードによって実際の対応は変わります。「IDSという名前なら外部装置と連携した遮断も一切できない」とまでは断定しません。
同じ兆候を検知しても、次の動作が違う
攻撃の特徴を含む通信を見つけたとします。IDSならアラートを受けた管理者や連携システムが調査・対応します。IPSなら設定に応じて、その通信を通さない防御も行えます。ただし、IPSが監視のみのモードなら遮断されません。
IPSが常に上位互換とは限らない
正常な通信を攻撃と判定する誤検知で自動遮断すると、サービスを妨げることがあります。検知精度だけでなく、通信への影響、監視体制、遮断してよい条件を考えます。監視と防御は目的に合わせて選び、組み合わせます。
NIDSとHIDS：何を監視するかの違い
| 分類 | 監視対象の例 |
|---|---|
| NIDS（Network IDS） | ネットワーク上の通信 |
| HIDS（Host IDS） | ホストのログ、ファイルの変更、システム上の活動など |
IDSとIPSは「検知か防御か」という役割の軸、ネットワーク型とホスト型は「どこで何を見るか」という軸です。名前を同じ分類として混ぜないようにしましょう。
ファイアウォール・WAFとの違い
基本的なFWはIPアドレスやポートなどで通信を制御し、WAFはWebアプリケーションへのリクエストを検査します。IDS/IPSでは侵入・攻撃の兆候の検知と対応に注目します。ただし、次世代FWなどはIPS機能も持つため、これらが必ず別の機器として設置されるとは限りません。
試験で見分ける手掛かり
「検知し管理者へ通知」ならIDS、「検知し通信を遮断」ならIPSが基本です。監視対象や動作モードが指定されていたら、その条件も読みましょう。個別の動作と注意点はIPSの記事にもまとめています。
確認問題
攻撃の兆候を検知し、管理者に通知する仕組みと、検知した通信を設定に応じて遮断する仕組みは、それぞれ何でしょうか？
解答・解説を見る
前者はIDS、後者はIPSです。検知した後の通知・防御という動作の違いが手掛かりになります。
ネットワーク防御をnoteでまとめて復習
無料noteにはIDSとIPSの解説に加え、ファイアウォール・WAF・DMZの説明もあります。検知・遮断・通信制御の役割を比較し、セキュリティ用語をつなげて復習できます。
ほかの分野は資格・目的別のnote教材ナビから選べます。
コメント