IDS・IPSとは？不正な通信を見つけて止める仕組みと違いをやさしく

IDSとは不正な通信を見つけて管理者に知らせる仕組み、IPSとは見つけた不正な通信を自動で止める仕組みのことです。IPAの中小企業の情報セキュリティ対策ガイドライン 第4.0⁠版は、IDSを侵入検知システム、IPSを侵入防御システムと呼んでいます。

今日やることは、新しく買う前に、今の機器を確かめることです。UTMや次世代ファイアウォールを使っているなら、IPSの機能が有効か、定義の更新契約が切れていないか、通知を誰が見ているかを保守会社に聞いてください。この3つ⁠がそろえば、専用の機器が要らない会社は少なくないと私たちは考えています。

ネットワーク対策全体の考え方はネットワークセキュリティの解説⁠にまとめています。

IDSとIPSの違いは？

止めるかどうかです。警備にたとえると、IDSは監視カメラを見て通報する人、IPSは通路に立って止める人です。

NISTのSP 800-94は、侵入検知を、システムやネットワークの出来事を監視し、問題の兆候を分析する作業と定義しています。侵入防御は、その検知に加えて、見つけた問題を止めようとする作業です。2007年⁠の文書ですが、仕組みの説明は今でも土台になります。

パロアルトネットワークスの解説も、IPSは通信の直接の通り道に置き、IDSは通信の流れに入らず監視するのが一般的だと説明しています。

SP 800-94によると、両者の能力の多くは共通で、IPS製品の防御機能を切るとIDSとして動かせるのが普通です。製品を買うときに「IDSかIPSか」⁠を別々に選ぶというより、1つ⁠の製品の動かし方の違いと考えて差し支えありません。

どうやって不正な通信を見つける？

主に2つ⁠の方式です。フォーティネットの解説は、シグネチャ型と統計的な異常検知型に分けて説明しています。

シグネチャ型は、知られた攻撃の特徴の一覧と照らし合わせます。既知の攻撃に強く、一覧の更新が前提です。更新が止まると、新しい攻撃の特徴を見つけられません。

異常検知型は、普段の通信と比べて外れた動きを見ます。未知の攻撃に反応できる可能性がある反面、正常でも普段と違う動きに反応しやすくなります。SP 800-94も、この方式は誤検知が多くなりやすいと述べています。

ファイアウォールとどう分担する？

受付と検査の違いです。ファイアウォールは、誰をどこへ通すかの規則を見ます。IDS・IPSは、通した通信に攻撃らしい特徴がないかを見ます。詳しくはファイアウォールの仕組みと足りない部分⁠で説明しました。

IPAのガイドラインでは、インターネットとファイアウォールの間に置く例を示しています。一方、SP 800-94は、境目の内側に置くと処理する通信が少なくて済むとも書いています。どちらが正解というより、どの通信を見たいかで決まります。

UTMの機能で足りるのはどんな場合？

境目を通る通信を見られれば十分で、機能と契約と担当者がそろっている場合です。

IPAのガイドラインは、UTMを、ファイアウォールやIDS・IPS、メールフィルタリング、URLフィルタリングなど複数の機能を1つの機器に統合したものと説明しています。フォーティネットのUTMの解説でも、UTMの機能の1つ⁠に侵入防止が挙げられています。同社はIPSの機能を次世代ファイアウォールの中で有効にできるとも説明しています。

次の4つすべてに当てはまるなら、まずUTMや次世代ファイアウォールの機能で考えてよいと私たちは考えます。

• 見たい通信の多くが、インターネットとの境目を通る
• IPS機能を有効にしても、通信の速度に余裕がある
• 定義の更新の契約が続いている
• 通知を見る担当か、監視の委託先が決まっている

反対に、次のような場面では専用の製品や別の仕組みを考えます。

通信の振る舞いから社内の異常を探す仕組みには、NDRがあります。フォーティネットのNDRの解説は、シグネチャを探すのではなく、通信を分析して不審な動きを見つける方式としています。ただし、同じ解説は導入先の例として、セキュリティの要求が高い組織や監視の専門組織を挙げています。専任がいない会社なら、委託の可否まで含めてNDRの製品比較を見てください。

専用のIDS・IPSを比べたい場合はIDS・IPSの製品比較、機能をまとめた機器ならファイアウォール・UTM機器の比較を見ます。

IDS・IPSでは防げないものは？

SP 800-94は、限界をはっきり書いています。買う前に知っておきたい点は3つです。

1つ目は、暗号化された通信です。ネットワーク型のIDS・IPSは、VPN、HTTPS、SSHなどの暗号化された通信の中の攻撃を検知できません。暗号が解かれた場所でセンサーが見る、端末側で調べるといった対応が必要です。今のWebの通信は多くが暗号化されているので、この制約は小さくありません。製品にある復号の機能を使うかどうかは、機器の負荷やプライバシーとの関係で決めます。

2つ目は、誤検知と見逃しです。SP 800-94は、どのIDS・IPSも正常な動きを不正と判定する誤検知と、不正な動きを見逃す検知漏れを起こすとしています。片方を減らすともう片方が増えやすい関係です。

3つ目は、高負荷です。通り道に置く方式では、処理が追いつかないと通信の切断や遅延につながることがあります。

警察庁の令和7年の報告は、攻撃者が漏えいした認証情報や簡易なパスワードを悪用して侵入すると説明しています。正しいIDとパスワードでの接続は、IDS・IPSから見て攻撃らしく見えないことがあります。入口の認証を固める話はZTNAとVPNの違い⁠で扱いました。

通知を見る人がいなくても動かせる？

動かせますが、IDSは見ないと意味がありません。見つけて知らせる仕組みなので、誰も見なければ何も起きなかったのと同じです。

担当者を置けない会社の現実的な形

• 深刻度の高い通知だけをメールやチャットに送る
• 月に1回⁠、通知の数と内容を保守会社に報告してもらう
• 夜間や休日の対応は監視サービスの委託を検討する

IPAの情報セキュリティ10大脅威 2026⁠の組織編で1位⁠のランサム攻撃は、警察庁の令和7年上半期の報告⁠によれば、土日が休みの企業に対して金曜の営業終了後に侵入し、月曜の朝までに暗号化する例もあります。休日の通知を誰が受けるのかは、見積もりの段階で決めておきたい点です。

製造業の場合、遮断は慎重に

たとえば、事務所と工場の間で、設備の稼働データを生産管理へ送る通信があるとします。普段あまり使わない形式の通信は、誤って攻撃と判定されることがあります。通り道のIPSがそれを止めると、データが届かず、ラインの確認に時間を取られるかもしれません。

そこで、工場に関わる通信は最初から遮断しません。SP 800-94は、最初は少数のセンサーで防御機能を切って動かす進め方を示し、学習やシミュレーションのモードを備えたセンサーもあると説明しています。この考え方で、まず検知だけで動かします。何週間か通知を見て、正常な通信の除外を設定します。遮断に切り替えるのは、影響が分かった規則からです。

切り替えの日は生産の少ない日を選び、元に戻す手順と連絡先を決めておきます。工場を止められない会社では、IPSより先に工場と事務所のネットワークの分離⁠を進めるほうが順番として自然です。

導入や確認で何を聞けばいい？

保守会社やメーカーに次を質問してください。

• 今の機器にIPSはあるか。有効か。どの通信に効いているか
• 定義の更新の契約はいつまでか。最後に更新されたのはいつか
• IPSを有効にしたときの実効の通信速度はいくらか
• 検知だけで動かす設定はあるか
• 誤検知の除外は誰が設定するか
• HTTPSの復号に対応しているか。有効にした場合の速度はどうなるか
• 通知の宛先、深刻度の分け方、ログの保存期間はどうなっているか
• 夜間と休日に重大な検知があったら、誰が何をするのか

カタログの最大速度は、IPSを有効にした速度と違うことがあるので、数字の条件を確かめます。

IDS・IPSは、これを入れたから安全と言える種類のものではありません。すり抜けも誤検知も前提に、人の手順と組み合わせる仕組みです。今の機器で有効にできるなら、そこから始めて、足りない場面が見えた時点で次を考えれば十分です。