IDS・IPSとWAFの違いは？守る場所で見分けてどちらが要るかを判断

IDS・IPSはネットワークの通信を見て不正なアクセスを検知や遮断する仕組みで、WAFはWebアプリへの通信を見て攻撃から守る仕組みです。どちらが要るかは、守りたい場所で決まります。

今日やることは、社内の2つ⁠の一覧を作ることです。1つ⁠は社外に公開しているWebサイトで、問い合わせフォーム、ログイン、CMSの有無を書きます。もう1つ⁠は社外から社内に入る入口で、VPN機器やリモートデスクトップ、保守業者の接続を書きます。

1つ目に該当があればWAFを、2つ目に該当があればIPSを検討します。製品を調べ始めるのは、この一覧ができてからで足ります。ネットワークの守りの全体像⁠の中で見ると、どちらも入口を守る部品の1つです。

IDS・IPSとWAFは何が違う？

NISTのSP 800-94は、IDSを侵入の検知を自動で行うものとし、IPSをその機能に加えて止めようとするものと説明しています。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版（2026年3月）⁠の説明も同じ趣旨です。

置く場所の例はIPAのガイドラインによるものです。実際には、独立した機器だけでなく、UTMの中の1機能やクラウドのサービスとして使う形もあります。

表の最後の行は誤解が多いところです。IPAのWAF導入資料（2019年3月）⁠は⁠、一般的なWAFの監視対象はHTTPとHTTPSだけだと書いています。SSHでのサーバーへの不正アクセスや、FTPでの不正なファイルアップロードの試みは検知できません。

逆に、IPSが通信全体を見ていても、Webアプリ固有の入力の中身を調べる役割はWAFのほうにあります。WAFはWebアプリの前に専門の窓口を置く発想で、IDS・IPSは建物の出入口を見張る発想だと考えると整理できます。

ファイアウォールとはどう分ける？

ファイアウォールは、通信を通すかどうかを決める仕組みです。許可された通信の中に攻撃が混じっていても、そこまで調べるのはIDS・IPSやWAFの仕事です。

ですから、順番としてはこうなります。ファイアウォールで不要な通信を入れない。許可した通信の中身をIDS・IPSで調べる。Webサイトへの通信はWAFが調べる。3つ⁠は置き換えの関係ではなく、見る範囲の違いです。

自社に要るのはどちら？

判断は製品の性能ではなく、社外に何を見せているかで決まります。

2行目の根拠は、警察庁の統計です。令和7年⁠の情勢報告⁠によると、ランサムウェアの被害組織へのアンケートで、侵入経路はVPN機器が6割以上⁠を占めました。同じ報告は、被害企業の約6割⁠が中小企業、業種では製造業が約4割だとしています。

ただし、IPSを入れればVPNの問題が片づくわけではありません。警察庁の報告が挙げる手口には、未修正の脆弱性のほかに、漏えいした認証情報や簡易なパスワード、設定の不備があります。正しいIDとパスワードでのログインは、不正な通信に見えにくいからです。機器の更新と多要素認証を先に確かめてください。

IPAの資料は、中小企業がレンタルサーバーでサイトを作ることが多いこと、WAFを標準で提供するレンタルサーバー事業者が増えていることにも触れています。サイトを制作会社やサーバー会社に任せているなら、新しく買う前に、契約に含まれていないかを聞くのが早道です。

製造業の場合はどう考える？

たとえば、製品カタログと図面請求のフォームをレンタルサーバーで公開し、本社には社外からのVPNがあり、工場には生産設備のネットワークがある会社の場合で考えます。

• 図面請求のフォームは、WAFの対象です。サーバー会社のWAFの有無と、フォームのソフトの更新担当を確かめます
• 本社のVPNと出入口は、IPSの対象です。UTMがあれば、IPSの機能と定義の更新が有効かを見ます
• 工場の設備は、分離が先です。IPAのガイドラインは、工場など用途の違うネットワークをセグメント分離するよう求めています

工場で気をつけたいのは、遮断が生産に響く点です。IPSは誤検知で正常な通信を止めることがあり、回線の途中に置く形では機器が止まったときの通信の扱いも問題になります。設備の側では、遮断しないIDSの動きで様子を見てから判断するやり方があります。

経済産業省の工場システム向けガイドラインは、工場のネットワークが外とつながる機会が増えたことを背景に作られました。工場の担当者と話すときの共通の土台として使えます。

WAFはどの形を選ぶ？

IPAの資料は、WAFを3つ⁠の形に分けています。

IPAの資料は、小規模な組織や人員を用意できない場合にサービス型を導入する企業が見られるとしています。サービス型はシグネチャの更新を提供者に任せられる反面、調整できる項目は提供者次第で、提供者の障害の影響も受けます。

専任の担当者がいないなら、まずサービス型から見るのが現実的だと私たちは考えます。製品ごとの置き方や公開価格はWAFの製品比較で、ネットワーク側の入れ方と処理性能はIDS・IPSの製品比較で確かめられます。

入れたあとに残る課題は？

理由の1つは、シグネチャです。WAFが検知できるのは、シグネチャとして定義された攻撃です。新しい脆弱性では、対応するシグネチャが届くまで検知できない場合があります。サポートが続いていないとシグネチャも受け取れません。

もう1つは、見る人です。IDSの通知は読む人がいなければ意味がありません。IPAの資料も、検知した通信が本当に攻撃だったかを運用者が確かめる場面があるとしています。導入の前に、次の2点⁠を決めておきます。

• 検知の通知を誰が受け取り、夜間や休日はどう扱うか
• 誤って業務の通信を止めたとき、誰がどこに連絡して解除するか

IPAの情報セキュリティ10大脅威2026では、組織向けの4位⁠に「システムの脆弱性を悪用した攻撃⁠」⁠が入っています。IDS・IPSもWAFもこの備えの一部ですが、脆弱性そのものを消すのは更新です。UTMの中でIPSを使うなら、UTMの比較で見る7項目で、機能を入れたときの処理性能と保守も確かめてください。社外からの接続そのものを見直すなら、SASEとゼロトラストの言葉の整理⁠が入口になります。

最初に作った2つ⁠の一覧は、製品の問い合わせにもそのまま使えます。公開しているサイトの数と種類、社外からの入口の数が分かれば、メーカーや販売店の答えも具体的になります。