IDS・IPSとSIEMとは？あいでぃーえす・あいぴーえすとしーむ
IDS・IPSとSIEMとは、通信や機器の挙動から攻撃の兆候を見つけて通報するのがIDS（侵入検知システム）、検知に加えて該当の通信を自動で遮断するのがIPS（侵入防止システム）。SIEMは各機器のログを一か所へ集めて相関分析し、単体の装置では見えない兆候を浮かび上がらせる基盤を指す。3つは代替ではなく、止める層と気付く層の役割分担になる。
最終更新：2026-10-06
ITストラテジストを最短で暗記・合格する →背景
境界で止める装置だけを厚くしても、正規の通信に紛れた攻撃や内部からの持ち出しは通り抜ける。一方で自動遮断を広く効かせると、誤検知がそのまま業務停止になり、事業側の損害が攻撃の被害を上回りかねない。そこで確実な攻撃だけを止め（IPS）、残りは検知して人が判断する（IDS・SIEM）という分担が生まれた。経営会議では、IPSが自動シャッター、IDSが監視カメラ、SIEMが各カメラの映像を突き合わせる管制室だと説明すると、なぜ3つとも要るのかが伝わる。
具体例
Splunk、Microsoft Sentinel、IBM QRadarといったSIEMへログを集約し、監視そのものはマネージドセキュリティサービスとして外部のSOCへ委託する構成が一般的になっている。ベンダー選定では、取り込むログの量に応じて費用が増える課金体系のため、どの機器のログを何日残すかを先に決めないと見積りが比較できない。
試験での引っ掛け
IDSは知らせるだけで止めず、止めるのは名前に防止と付くIPSという対比が定番になる。設置形態も、通信をコピーして脇で見るのがIDS、経路上に割り込むのがIPSで、後者は装置の故障や誤検知が通信断に直結する。SIEMを保管庫と説明するのも誤りで、目的は相関分析による検知であり、監査や法令で求められる長期保存は別途設計する。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。