IDS・IPSとは？

IDS・IPSの意味

ネットワークやサーバへの不正なアクセス・攻撃の兆候を検知する仕組み（IDS）と、検知に加えて自動的に遮断まで行う仕組み（IPS）。ファイアウォールでは見抜けない攻撃の兆候を検出する。

IDS・IPSの具体例

IDSが通常と異なる大量の接続要求を検知して管理者にアラートを送り、IPSであれば検知と同時にその通信を自動的に遮断する。

IDS・IPSは試験でどう引っ掛けられる？

IDSは検知のみで遮断はしない、IPSは検知に加えて遮断まで自動で行うという役割の違いが問われる。

IDS・IPSと関連する用語

• ファイアウォール
• SIEM

IDS・IPSが出た過去問

• SIEM（Security Information and Event Management）の機能として、最も適切なものはどれか。

  正解：サーバやネットワーク機器などのログデータを一括管理、分析して、セキュリティ上の脅威を発見し、通知する。

  要点：SIEMはログを集約・相関分析して脅威を検知する

  SIEMは、サーバ・ネットワーク機器・セキュリティ製品などが個別に出力するログを一箇所に集約し、相関分析によって単体のログでは気づけない攻撃の兆候を見つけて管理者に通知する仕組みである。時刻を揃えた横断的な分析ができる点が価値であり、インシデントの早期検知と事後の調査の双方に役立つ。DLPやIDSといった個別機能と役割を混同しないこと。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問15（IPA）

• IDSの機能はどれか。

  正解：サーバやネットワークを監視し、セキュリティポリシを侵害するような挙動を検知した場合に管理者へ通知する。

  要点：IDSは不審な挙動を検知して管理者へ通知する監視システム

  IDS（侵入検知システム）は、ネットワークやサーバの通信・挙動を監視し、攻撃やポリシ違反の兆候を検知して管理者へ通知する。検知が役割であり、遮断まで行うものはIPS（侵入防止システム）と呼ばれる。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問12（IPA）

• NIDS（ネットワーク型IDS）を導入する目的はどれか。

  正解：管理下のネットワークへの侵入の試みを検知し、管理者に通知する。

  要点：NIDSは通信を監視して侵入の兆候を検知・通知する

  NIDSはネットワーク上を流れるパケットを監視し、攻撃や侵入の兆候となる通信パターンを検知して管理者へ通知する仕組みである。検知と通知が役割であり、通信を遮断するIPS/WAFや、ファイルの改ざんを見るホスト型IDSとは目的が異なる。

  出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問13（IPA）

• IPSの説明はどれか。

  正解：サーバやネットワークへの侵入を防ぐために、不正な通信を検知して遮断する装置

  要点：IPSは不正通信を検知して遮断まで行う侵入防止装置

  IPS（侵入防止システム）は、通信を監視して攻撃と判断したパケットを検知するだけでなく、その場で遮断まで行う装置である。通信経路上に置かれて動作する点が、検知と通知にとどまるIDSとの違いになる。防御対象はサーバやネットワークであり、物理的な入室管理とは無関係である。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問15（IPA）