IDS/IPSとは？ファイアウォールやWAFとの違いや役割を比較

IDS/IPSは、ネットワークやサーバーへの不正なアクセスを検知・防御するセキュリティシステムです。両者は言葉が似ていますが、その役割には明確な違いがあります。

この記事では、IDS/IPSの基本的な仕組みや役割を比較し、ファイアウォールやWAFといったほかのセキュリティ製品との違いもわかりやすく解説します。

IDSとIPSの違いとは？それぞれの役割を解説

IDSとIPSの大きな違いは、検知した脅威に対して「遮断などの防御まで自動でおこなうかどうか」という点です。

IDSは不正な通信を検知して管理者に通知するまでを担いますが、IPSは検知したうえでその通信を自動的に遮断します。

近年では、両方の機能を持ち、設定によって検知のみか防御までおこなうかを選択できる製品が主流です。そのため、IDS/IPSとまとめて呼ばれることも多くなっています。

IDS（不正侵入検知システム）とは？

IDSとは「Intrusion Detection System」の略で、不正侵入検知システムと訳されます。

その役割は、ネットワークやサーバーへの不審な通信や不正なアクセスを検知し、管理者へ通知することです。IDSはあくまで脅威を検知するまでを目的としており、通信を遮断する機能は持ちません。

例えるなら、煙や熱を感知して警報を鳴らす「火災報知器」のような存在です。異常が発生したことをいち早く知らせることで、迅速な対応を促します。

IDSのメリット・デメリット

IDSの最大のメリットは、通信を自動で遮断しないため、誤検知が発生した場合でも業務への影響を最小限に抑えられる点です。

正常な通信を誤って攻撃と判断して遮断してしまうと、サービス停止などの深刻な問題につながる可能性があります。一方で、検知後の遮断や封じ込めを自動でおこなわないことから、運用（監視・分析・対応）の体制が弱いと対処が遅れやすい点がデメリットとなります。

IDSはあくまで検知と通知に留まるので、管理者が内容を分析したうえで対応を判断でき、通信の可視化や脅威の分析を目的とする場合に適しています。

IPS（不正侵入防御システム）とは？

IPSとは「Intrusion Prevention System」の略で、不正侵入防御システムと訳されます。

IPSはIDSの検知機能に加え、検知した不正なアクセスを自動的に遮断する防御機能までを備えた仕組みです。サイバー攻撃の兆候を発見すると、その通信を即座にブロックし、被害を未然に防げます。

火災を検知すると自動で放水して消火活動をおこなう「スプリンクラー」のような存在といえるでしょう。検知から防御までを自動で実行できる点が最大の特徴です。

IPSのメリット・デメリット

IPSのメリットは、サイバー攻撃を検知した際に即座に自動で通信をブロックし、侵入を未然に防げる点です。

脅威が発見されてから管理者が手動で対応するまでのタイムラグをなくし、リアルタイムで防御を実行します。これにより、攻撃による被害の発生や拡大を効果的に食い止められます。

24時間365日、自動でセキュリティを維持できるため、管理者の運用負荷を軽減し、迅速なインシデント対応に貢献する点も大きな強みです。ただし、誤検知時に正当な通信まで遮断して業務影響が出る可能性がある点はデメリットとなります。

IDS/IPSとファイアウォール・WAFとの役割分担を解説

IDS/IPS、ファイアウォール、WAFはどれもネットワークセキュリティに関するツールです。

それぞれの守備範囲が異なるため、組み合わせて使い分けることで対策の抜け漏れを減らせます。まずは役割分担を整理しましょう。

*解析技術（DPIやSSL復号化など）の進化により、第7層（アプリケーション層）や暗号化通信の監視・検知が可能なIDS/IPS製品も主流となっています

ファイアウォールとの違い

ファイアウォール（Firewall）との違いは、通信を判断する基準にあります。

ファイアウォールは、主に通信の送信元IPアドレスや宛先IPアドレス、ポート番号などのヘッダー情報をみて、事前に設定されたルールに基づき通信を許可または拒否する仕組みです。これは、建物の入り口で入館許可証を確認する「門番」の役割に例えられます。

一方、IDS/IPSは通信の中身（ペイロード）までを検査し、不正なパターンが含まれていないかを確認する点が大きな特徴です。

また、OSI参照モデルにおける対象レイヤーも異なり、ファイアウォールは第3層（ネットワーク層）から第4層（トランスポート層）を中心に機能するのに対し、IDS/IPSは第3層から第6層（プレゼンテーション層）までを監視します。

IDS/IPSとWAFとの違い

WAF（Web Application Firewall）との違いは、保護対象の範囲です。

IDS/IPSは主に"ネットワーク上の通信"を監視して侵入兆候を検知/遮断するのに対し、WAFはOSI参照モデルの第7層（アプリケーション層）のなかでもWebアプリケーションの脆弱性を狙った攻撃に特化しています。例えば、SQLインジェクションやクロスサイトスクリプティングといった、Webサイトの入力フォームなどを悪用する攻撃を防ぐのが主な役割です。

大切な情報を扱う金庫を守る「金庫番」のように、より専門的な防御を担います。

IDS/IPSとほかのセキュリティ対策ツールを併用する必要性

IDS/IPSは通信の中身や振る舞いまで監視・遮断できる強力なツールですが、それ単体では組織のセキュリティを完全に守り切れません。ファイアウォール（入口対策）やWAF（Webアプリ対策）などと組み合わせ、お互いの弱点を補い合う「多層防御」を構築する必要性があります。

さらに、IDS/IPSのポテンシャルを最大限に活かすには、脅威を検知したあとの迅速な原因特定や対処ができる運用体制も重要です。IT資産管理ツールなどを活用し、端末状態や操作ログの管理体制を整えていれば、アラート発生時の調査・復旧スピードが格段に上がります。

各ツールの強みを掛け合わせることで、インシデントの「予防・検知・事後対応」がスムーズに回り、全体のセキュリティレベルが大きく向上するでしょう。

参考

IT資産管理ツールSS1
SS1クラウド

IDS/IPSがサイバー攻撃を検知・防御する2つの仕組み

IDS/IPSが不正な通信を検知・防御する機能には、主に「シグネチャ型」と「アノマリ型」という2つの仕組みがあります。それぞれに長所と短所があり、製品によってはこれらの検知方式を併用している場合もあります。

シグネチャ型：既知の攻撃パターンを検出する方式

シグネチャ型は、過去に発見されたサイバー攻撃のパターンを「シグネチャ」と呼ばれる定義ファイルとしてデータベース化し、それと一致する通信を検知する方式です。

既知の攻撃に対しては非常に高い精度で検出できる一方、データベースにない未知の攻撃や亜種のウイルスには対応できないという弱点があります。そのため、常に最新のシグネチャに更新し続けることが重要です。

アノマリ型：通常と異なる不審な通信を検出する方式

アノマリ型は、平常時の正常な通信状態を学習し、そのパターンから逸脱する異常な通信（アノマリ）を検知する方式です。

過去のログなどをもとに「いつもと違う」振る舞いを検出するため、シグネチャに登録されていない未知の攻撃やゼロデイ攻撃の検知が期待できます。ただし、正常な通信を異常と誤検知する可能性があり、導入後の継続的なチューニングが求められます。

正常な状態（ベースライン）の把握にIT資産管理ツールを活用した事例

アノマリ型の運用やチューニングを成功させるには、まず「自組織にとって何が正常な状態（ベースライン）か」を正確に把握しておくことがポイントです。

例えば新関西製鐵株式会社様では、セキュリティソフトの初期設定時に、IT資産管理ツール「SS1クラウド」を活用して標準的な利用パターンを整理されています。詳細は下記の導入事例をご参照ください。

参考

新関西製鐵株式会社 様 SS1クラウド導入事例

IDS/IPSの主な設置タイプとそれぞれの特徴

IDS/IPSは、監視対象や目的に応じて適切な配置方法を選択する必要があります。主な設置タイプには、ネットワーク全体を監視する「ネットワーク型」と、特定のサーバーを保護する「ホスト型」に加え、近年導入が進む「クラウド型」の3種類が存在します。

それぞれの特徴を理解し、組織のシステム構成や保護したい資産に合わせて最適な装置を選びましょう。

ネットワーク型（NIDS/NIPS）：ネットワーク全体を監視する

ネットワーク型（NIDS/NIPS）は、ネットワークの経路上に設置し、そこを通過するすべてのパケットを監視するタイプです。特定のサーバーだけでなく、ネットワーク全体の通信を包括的に監視できるため、外部からの不正アクセスや内部でのマルウェア拡散などを広範囲に検知できます。

一般的には、ファイアウォールの内側や、公開サーバーを配置する「DMZ（非武装地帯）」など、外部との通信経路上にインラインで配置されます。

ホスト型（HIDS/HIPS）：特定のサーバー内を監視する

ホスト型（HIDS/HIPS）は、Webサーバーやデータベースサーバーなど、保護対象のサーバーに直接ソフトウェアをインストールするタイプです。そのサーバー内での不審な挙動、例えば不正なプログラムの実行やシステムファイルの改ざん、不審な通信ログなどを監視します。

ネットワーク型では検知が難しい「暗号化された通信の中身」も監視できるほか、クラウド環境のサーバー保護にも適しています。なお、同じく端末（エンドポイント）内部を保護する仕組みとしては「EDR」や「EPP」も代表的です。

クラウド型：導入が容易で運用負荷を軽減できる

クラウド型は、ベンダーが提供するクラウド基盤上で通信を監視・防御するタイプです。物理的な機器の設置が不要なため、導入や拡張がスムーズにおこなえます。

また、組織で機器を保守する手間が省けるため、テレワーク環境の拡大やシステムのクラウド移行を進めている組織に適しています。

IDS/IPSによって防御が期待できるサイバー攻撃の例

IDS/IPSは、ファイアウォールだけでは防ぎきれない多様なサイバー攻撃に対して有効です。OSやミドルウェアの脆弱性を悪用する攻撃や、サービス停止を狙う攻撃など、さまざまな脅威を検知・防御する能力を持っています。

ここでは、IDS/IPSによって防御が期待できる代表的な攻撃の例をいくつか紹介します。

サーバーダウンを狙うDoS/DDoS攻撃

DoS/DDoS攻撃は、サーバーに対して大量の処理要求やデータを送りつけることで過剰な負荷をかけ、サービスを提供不能な状態に陥らせる攻撃です。IDS/IPSは、特定の送信元からの異常なトラフィックの急増や不正な形式のパケットを検知し、該当する通信を遮断することで、システムダウンを防ぎます。

DoS/DDoS攻撃の代表的な例：SYNフラッド攻撃

DoS/DDoS攻撃の代表的な手法として「SYNフラッド攻撃」があります。これは、通信を確立するための接続要求（SYNパケット）を標的サーバーに大量に送りつけ、応答待ちの状態であふれさせることでシステムをダウンさせる攻撃です。

IDS/IPSは、こうした不自然な接続要求の急増や偏りを検知して遮断し、サービスの停止を防ぎます。

OSやサーバーの脆弱性を悪用する攻撃

OSやサーバー上で動作するソフトウェアの脆弱性を悪用する攻撃は、システムの乗っ取りや情報窃取につながる深刻な脅威です。代表的な例として、プログラムの許容量を超えるデータを送りつけて誤作動させる「バッファオーバーフロー攻撃」があります。

IDS/IPSは、こうした攻撃特有の通信パターン（シグネチャ）を検知し、不正なコードが実行される前に通信を遮断します。

マルウェアの侵入や内部拡散

ウイルスやワームをはじめとするマルウェアは、ネットワークを経由してシステムに侵入し、内部で感染を拡大させることがあります。

IDS/IPSは、マルウェアが外部のC&Cサーバーとおこなう不正な通信や、ネットワーク内でほかの端末へ感染を広げようとする動きを検知・遮断するソリューションです。これにより、感染の初期段階での封じ込めや、被害の拡大防止が期待できます。

最適なIDS/IPS製品を選ぶための3つのポイント

最適なIDS/IPS製品を導入するためには、いくつかのポイントを考慮する必要があります。保護対象や運用体制、コストなどを総合的に評価し、自社のセキュリティ要件に合ったサービスを選ぶことが、導入後の効果的な運用につながります。

ポイント1：保護したい対象に合わせた設置タイプを選ぶ

まず、何を保護したいのかを明確にしましょう。設置タイプによって用途が異なるため、以下の基準を参考にしてください。

また、近年ではIT環境だけでなく、工場の生産ラインなどを制御するOT環境を保護する目的での導入も増えています。保護対象の特性や組織内の運用体制を考慮して最適な構成を検討しましょう。

ポイント2：運用負荷を軽減できるサポート体制が整っているか

IDS/IPSは導入して終わりではなく、継続的な運用が必要です。検知されたアラートの分析や、誤検知を減らすためのチューニング設定、シグネチャの更新など、専門的な知識が求められる作業が発生します。

組織内にセキュリティ専門の担当者がいない場合は、ベンダーによる24時間365日の監視・運用代行サービスや、導入後のサポートが充実している製品を選ぶことで、運用負荷を大幅に軽減できます。

ポイント3：導入後のチューニングやシグネチャ更新のコストを確認する

製品選定時には、初期の導入費用だけでなく、運用にかかるランニングコストも必ず確認しましょう。ライセンスの年間更新費用や、シグネチャの更新にかかる費用、専門家によるチューニングを依頼する場合の技術料など、長期的な視点でのコスト評価が重要です。

複数の製品やサービスを比較検討し、トータルコストと得られる効果のバランスを見極めることが求められます。

まとめ

IDSは不正侵入を検知するシステム、IPSは防御までをおこなうシステムです。しかし、これら単体ではすべての脅威を防げません。ファイアウォールやWAFなど、ほかのセキュリティ対策ツールも上手に活用しながら、複雑化するサイバー攻撃から情報資産を守り抜きましょう。

著者プロフィール
SS1LAB編集部
IT資産管理ツールSS1/SS1クラウドを開発・販売している、株式会社ディー・オー・エスの営業企画部メンバーで構成されています。IT資産管理・ログ管理・情報セキュリティ対策など、情シス業務の効率化に役立つ最新トレンド情報を随時発信中！