自社のセキュリティ対策としてIPSの導入を検討しているものの、これが最適な選択肢なのか分からないという方も少なくないでしょう。 この記事では、IPS（不正侵入防止システム）の概要と、セキュリティの仕組みについて解説しています。 IPSによるセキュリティ対策のメリットと注意点もまとめているので、ぜひ最後までご覧ください。

IPSとは

IPS（Intrusion Prevention System）は、常にネットワークやサーバーを監視し、不正アクセスなどのサイバー攻撃を自動で検知・ブロックすることで、社内ネットワークを守るシステムです。「不正侵入防止システム」とも呼ばれます。 しかし、その性質上、誤検知が発生することもあり、正常な通信を攻撃と誤認して遮断してしまうケースも珍しくありません。

IDSとの違い

IDS（Intrusion Detection System）は、IPSとよく似たセキュリティ製品で、「不正侵入検知システム」とも呼ばれます。 ネットワークやサーバーを監視し、次のようなセキュリティインシデントがあれば、検出およびセキュリティ担当者への通知を行います。

• マルウェアの侵入
• 不正アクセス
• データ漏洩 など

検知と同時に防御まで行うIPSに対し、IDSが行うのはあくまでもネットワークトラフィックの監視と、脅威の検知のみです。 IPSであれば検知後に自動で防御するため、管理者の判断や対応を待つことなく速やかに対応でき、被害を最小限に抑えられます。 一方IDSの場合、検知した脅威はその後、人の手で対処する必要があります。

WAFとの違い

WAF（Web Application Firewall）は、Webアプリケーションの脆弱性を狙ったサイバー攻撃を防ぐセキュリティサービスです。 SQLインジェクション、クロスサイトスクリプティング（XSS）などによって起こり得る、データの改ざんや漏えいのリスクを抑えられるのが特徴です。 IPSとの違いは脅威を防ぐ層にあります。 同じ脅威防止型のセキュリティサービスでも、WAFが対応できるのはアプリケーション層になります。 一方、IPSはOSやミドルウェア層に特化しており、これらを狙ったSYNフラッド攻撃、またはバッファーオーバーフロー攻撃などから防御できます。 このように、両者は対応する層が異なるため、併用することが可能です。

ファイアウォールとの違い

ファイアウォールは、通信の出入り口に設置して、不正な侵入や未許可の通信から情報を守るためのシステムです。 送信元と送信先の情報（IPアドレスやポート番号など）をもとに、アクセスを制限する仕組みになっています。 IPSはOSやミドルウェアへの不正アクセスを防ぎますが、ファイアウォールは、ウォールパケット情報をもとに不正アクセスを検知し、社内ネットワークを守るのが主な役目です。 また、ファイアウォールは通信の中身までは検知しない点もIPSとは異なる特徴です。

IPSによるセキュリティの仕組み

IPSによるセキュリティの仕組みは、ネットワークを流れる通信内容やサーバーのログ情報などをチェックする「監視」と、異常や脅威を発見したときに通信を遮断する「検知」の2つから成ります。 この監視と検知の仕組みには、それぞれにいくつかの種類があるため、導入する前に違いを把握しておくことが大切です。

監視の仕組み

IPSの監視タイプには、以下の3種類があります。

• ネットワーク型
• ホスト型
• クラウド型

それぞれの仕組みについて解説します。

ネットワーク型

監視対象となるネットワーク上に設置し、そのなかを流れているパケットと呼ばれるデータを監視するタイプです。 ネットワークにはゲートウェイと呼ばれる箇所があり、そこを通過するパケットをIPSがチェックする仕組みになっています。 ネットワーク型は、後述するホスト型やクラウド型に比べると対応範囲が広いのが特徴です。ただし、直接接続しているネットワークのみが検知の対象になる点には注意しなくてはなりません。 複数のネットワークを監視する場合には、ネットワークごとにIPSを設置する必要があります。

ホスト型

ホスト型のIPSは、監視対象となるサーバーに導入し、そのなかの受信データやログデータの監視を行います。 一つ一つのサーバーごとに、独自の設定を反映できるのが大きなメリットです。また、不審なプログラムの動作やファイル改ざんの兆候など、不正アクセス以外の監視を行えるのも特徴です。 ただし、管理するそれぞれのサーバーに導入する必要があるため、サーバーの台数が多ければ、そのぶん費用が高額になる可能性があります。

クラウド型

クラウド型では、ベンダーから提供される、クラウド上のIPSを使用します。インターネット環境さえあれば利用できるので、導入ハードルが低い点がメリットです。 また、サーバーやネットワークごとに設定を変更する必要がなく、運用工数を抑えられるのも利点です。 ただし、ベンダーによって脅威を検知する能力が大きく異なる点には注意が必要です。そのため、ベンダーの選定が難しく、比較検討から導入までに時間がかかるといった難点があります。

検知の仕組み

IPSが脅威を検知する仕組みには、以下の2種類があります。

• シグネチャ型
• アノマリ型

それぞれに有効な攻撃や運用のコツが違うため、特徴を把握しておきましょう。

シグネチャ型

シグネチャ型は、不正を検知する際、事前にダウンロードしておいたアクセスパターンをもとに、異常や問題を突き止める方法です。 ソフトウェアの脆弱性につけこんだ、悪意のある攻撃者を防ぐことが可能です。実際の攻撃パターンと比較して検査が行われるため、高い精度で脅威を検出することが可能になります。 ただし、事前に設定していない未知の脅威には対応しにくいのがデメリットです。 新しい攻撃にあっても対処できるよう、定期的にアクセスパターンを調整したり更新したりする必要があります。

アノマリ型

アノマリ型は、正常なアクセスパターンから大きく外れる通信内容があった場合に不正アクセスを検知する仕組みです。 異常なパターンを登録するシグネチャ型とは異なり、正常なアクセスパターンを登録しておきます。未知の攻撃やゼロデイ攻撃などに対しても効果を発揮します。 ただし、的確に脅威を検知するためには、綿密なチューニングが必要になります。 定期的なチューニングをせずに稼働させていると、正常な通信を誤って不正アクセスとみなす誤検知につながりかねません。

IPSによるセキュリティ対策が有効なサイバー攻撃

IPSで防げるサイバー攻撃には、次のような種類があります。

エクスプロイト	OSやWebサーバー内にあるスクリプトを不正に実行して、機密情報などのデータにアクセスすること
マルウェア感染	デバイスや社内ネットワークにトロイの木馬やワームをはじめとするマルウェアに感染させる
バッファーオーバーフロー	Webサーバーの許容量を超えるデータを送信し、システムの誤作動や停止を招く。内部コードを不正に実行されることもある
SYNフラッド攻撃	DoS攻撃の一種で、TCP接続時に送信されるSYNパケットを大量に送って、サーバーダウンやシステム停止を狙う

このような攻撃を受けると、システムが停止し、業務を遂行できないといった事態になりかねません。 IPSで異常を検知、ブロックすることで、これらの脅威から社内ネットワークを守ります。

IPSによるセキュリティ対策のメリット

IPSを用いてセキュリティ対策を行う主なメリットとしては、以下が挙げられます。

• ファイアウォールで見逃しやすい攻撃を察知できる
• 異常を検知したタイミングで即座に対応できる
• 状況に応じて柔軟に対応できる

それぞれのメリットについて、詳しく見ていきましょう。

ファイアウォールで見逃しやすい攻撃を察知できる

IPSは、通信内容についても監視を実施でき、ファイアウォールが見逃した不正アクセスを検知できるのがメリットです。 ファイアウォールは、通信の送信元と宛先のみを監視し、許可された通信だけを通過させる仕組みですが、通信内容そのものを確認することはないので、送信元と宛先が正しければ、不正アクセスを見逃す恐れがあります。 セキュリティレベルを高めるためには、ファイアウォールとIPSを併用するのが望ましいでしょう。

異常を検知したタイミングで即座に対応できる

IPSは、異常を検知すると即座に通信を遮断します。これにより、速やかにセキュリティインシデントに対応でき、被害が大きくなることを防ぎます。 IPSのような仕組みがない場合、アクセスデータを解析してはじめて不正アクセスが発覚するといったケースもあります。 このように対応が遅れてしまえば、ウイルス感染や情報の抜き出しといった大きなトラブルに発展しかねません。こうした事態を防げるのが、IPSのメリットです。

状況に応じて柔軟に対応できる

IPSは、異常を検知すると通信を遮断し、管理者やセキュリティチームに通知を行うのが一般的です。 通知のみを行うIDSの場合は、管理者が通知された状況を踏まえて、システムの一時停止や暫定的な対策などの方針を決定します。 ただし、緊急性の高い不正アクセスの場合には、急いで判断しなければなりません。 IPSを利用していれば、異常な通信を一時的に遮断しておくことで冷静に対処でき、状況に合わせた対応がより柔軟に行えるでしょう。

IPSの注意点

IPSを導入する際は、IPSのみでは防げない攻撃があることに注意が必要です。 例えば、次のような攻撃には、IPSでは対応できません。

• Webアプリケーションの脆弱性を利用して、不正にデータベースを操作するSQLインジェクション
• ウェブサーバーへのリクエストにOSへの不正な命令文を紛れ込ませるOSコマンドインジェクション など

これらのリスクに対しては、UTMで包括的なセキュリティ対策を行うのが有効です。 UTMでは、ファイアウォールだけでなく、アンチウイルスやWebフィルタリングなど、複数のセキュリティ機能が一つのハードウェアに集約されています。 ネットワークの出入り口になるポイントに設置できるUTMは、不正なアクセスをまとめてブロックすることが可能です。 参考記事：UTM（統合脅威管理）とは？概要や主な機能、導入事例を解説

総合的なセキュリティ対策なら「FLESPEEQ UTM」

IPSは、ネットワークを監視し、異常を検知した場合には即座に通信を遮断するシステムです。 リスクのある通信を自動的に遮断するため、管理者の手を煩わせることなく、セキュリティインシデントに対応できます。 通信内容も監視できるので、バッファーオーバーフローやマルウェア感染などの攻撃に対して有効です。 しかし、IPSでは対処できないセキュリティリスクもあり、SQLインジェクション、OSコマンドインジェクションといった攻撃には効果がありません。 FLESPEEQ UTMは、複数のセキュリティ機能を集約しているため、IPSで防げないセキュリティインシデントにも対応可能です。 また、IDS/IPS機能やファイアウォール、アンチウイルスなどの機能を一元管理できるので、管理者様の負担も軽減できます。 当社では、機器を設置する【オンプレ型】と、インターネット接続とクラウドUTMがセットの【クラウド型】をご用意しております。 お客様のご利用状況に合わせて最適なUTMをご提案いたしますので、まずはお気軽にお問い合わせください。 日本通信ネットワークは、企業ごとに、企画立案から構築・運用までワンストップで、ICTソリューションサービスを提供しています。 IT担当者様が、ビジネス拡大や生産性向上のための時間を確保できるよう、全面的に支援します。 お問い合わせ・ご相談・お見積りは無料ですので、お気軽にお問い合わせください。