IDS／IPSとは？

IDS／IPSの意味

通信やホストの挙動を監視して攻撃を検知するのがIDS、さらに遮断まで行うのがIPS。検知方式にはシグネチャ型（既知パターンとの一致で判断）とアノマリ型（正常な状態を定義しそこからの逸脱を不正と判断）がある。設置形態はミラーポートで観測するプロミスキャス型と、経路上に挿入するインライン型。

IDS／IPSの具体例

基幹系の手前はインライン設置のIPSで既知の攻撃を遮断し、業務LAN側はミラーポート接続のIDSで検知のみとした。誤検知による停止の影響が大きい区画では遮断せず監視に留める、という区画ごとの判断で、可用性と検知力の両立を図った。

IDS／IPSは試験でどう引っ掛けられる？

遮断するにはインライン設置が必要。フォールスポジティブ（正当な通信を攻撃と誤判定して遮断する）とフォールスネガティブ（攻撃の見逃し）の定義の入れ替えが頻出。未知の攻撃に対応しやすいのはアノマリ型。

IDS／IPSと関連する用語

• WAF
• SIEM
• ネットワークタップ

IDS／IPSが出た過去問

• インラインモードで動作するシグネチャ型IPSの特徴はどれか。

  正解：IPSが監視対象の通信を通過させるように通信経路上に設置され,定義した異常な通信と合致する通信を不正と判断して遮断する。

  要点：インライン型IPSは経路上に置き既知パターンと合致する通信を遮断する

  IPSの設置形態には、通信経路上に直列に挿入するインラインモードと、ミラーポートから複製を受け取るプロミスキャスモードがある。また検知方式には、既知の攻撃パターンと照合するシグネチャ型(不正検出型)と、通常状態からの逸脱を見るアノマリ型がある。インラインかつシグネチャ型はエの記述に一致する。

  出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問12（IPA）

• インラインモードで動作するアノマリ型IPSはどれか。

  正解：IPSが監視対象の通信を通過させるように通信経路上に設置される。通常時の通信を定義し,それから外れた通信を不正と判断して遮断する。

  要点：アノマリ型は正常状態を定義しそこからの逸脱を不正と判断する

  IPSは、通信経路上に直列に置くインラインモードと、ミラーポートから複製を受け取る形態に分かれる。検知方式では、正常な状態を定義してそこから逸脱した通信を不正とみなすのがアノマリ型、既知の攻撃パターンと照合するのがシグネチャ型である。インラインかつアノマリ型はエに一致する。

  出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問13（IPA）

• ネットワーク機器間の光ファイバを使った通信を分岐させてネットワーク上のトラフィックを取り出し,セキュリティ装置で監視したい。ネットワークから信号を光学的に分岐さ…

  正解：ネットワークタップ

  要点：ネットワークタップは通信信号を分岐して監視に渡す

  ネットワークタップは、光ファイバなどの通信路に挿入し、流れている信号を光学的に分岐させて監視装置へ複製を渡す専用機器である。通信そのものには手を加えず、機器の障害時も通信を通し続けられる構造のものが多いため、IDSやパケットキャプチャの入力を得る手段として使われる。

  出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問20（IPA）