IDS・IPSとSIEMとは？

IDS・IPSとSIEMの意味

IDS（侵入検知システム）は不正アクセスの兆候を検知して通知する仕組み、IPS（侵入防止システム）は検知に加えて自動的に遮断する仕組み。SIEM（Security Information and Event Management）は、ファイアウォールやIDS/IPSなど複数の機器のログを一元的に集約・相関分析し、脅威の兆候を早期に発見する仕組み。

IDS・IPSとSIEMの具体例

個々の機器のログでは見えにくい攻撃の兆候（複数の機器にまたがる不審なアクセスパターンなど）を、SIEMで横断的に分析することで早期発見につなげる。

IDS・IPSとSIEMは試験でどう引っ掛けられる？

IDSは検知して知らせるだけで遮断しない。自動的に遮断するのはIPSで、「防止」と名が付くほうが止める側と覚える。設置形態も、通信経路の外側でコピーを見るのがIDS、経路上に割り込むのがIPS。検知方式も混同しやすく、既知の攻撃パターンと照合するのがシグネチャ型（未知の攻撃は検知できない）、平常時との差を見るのがアノマリ型（誤検知が増えやすい）。

IDS・IPSとSIEMと関連する用語

• WAF（Webアプリケーションファイアウォール）

IDS・IPSとSIEMが出た過去問

• IDSの機能はどれか。

  正解：サーバやネットワークを監視し，侵入や侵害を検知した場合に管理者へ通知する。

  要点：IDSは侵入を検知して通知する。遮断まで行うのはIPS

  IDSは侵入検知システムのことで、通信内容やサーバ上の記録を監視し、既知の攻撃パターンや平常時からの逸脱を見つけると管理者へ知らせる。遮断まで行うのはIPSであり、IDSは検知と通知が主な役割である。

  出典：平成30年度 秋期 基本情報技術者試験 午前 問42（IPA）

• SIEM（Security Information and Event Management）の機能はどれか。

  正解：様々な機器から集められたログを総合的に分析し、管理者による分析と対応を支援する。

  要点：SIEMは各種ログを集約・相関分析して検知を支援する

  SIEMは、サーバやネットワーク機器、セキュリティ製品などが個別に出力するログを一か所に集約し、相関分析によって単独では気付きにくい兆候を浮かび上がらせる仕組みである。異常を検知すると管理者へ通知し、調査と対応を支援する。個々の機器のログを人手で突き合わせる負担を減らせる点が価値である。

  出典：令和1年度 秋期 基本情報技術者試験 午前 問43（IPA）

• WAFの説明はどれか。

  正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。

  要点：WAFはHTTPの中身を検査し攻撃を遮断する仕組み

  WAFはWebアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃とみなせるパターンを検知して遮断する仕組みである。ネットワーク層で通信を絞るファイアウォールとは異なり、HTTPの中身まで見る点が特徴になる。WPA2やSIEM、UTMとは目的が異なる。

  出典：令和7年度 （公開問題） 基本情報技術者試験 kamokuA 問10（IPA）