IDS・IPS製品の比較は、製品名より先に「専用機」「UTMやファイアウォールの機能」「クラウド型」の3つに分けると整理できます。多くの中小企業の出発点は、新しい製品の検討ではなく、今あるUTMのIPSが有効かどうかの確認です。
今日やることは2つです。社内のUTMやファイアウォールで、IPSが有効かと定義の契約期限を保守会社に聞いてください。あわせて、社外との出入口のほかに、見たい通信の場所があるかを書き出します。工場内の区画や、クラウド上のサーバーなどです。
それぞれの言葉は、次のように分かれます。IDSは不正な通信を見つけて知らせる仕組みで、IPSは見つけた通信をその場で止める仕組みです。NISTのSP 800-94はこの分野の基本の文書ですが、2007年の発行で、改訂の案は取り下げられています。製品の判断は各社の今の公式資料で確かめます。
IDS・IPS製品は3つのどれに分かれる？
入れ方と守る場所で分けると、次のようになります。
| 種類 |
製品の例 |
向いている場所 |
先に確かめること |
| UTM・ファイアウォールの機能 |
FortiGuard IPS、Check Point IPS、Advanced Threat Prevention |
社外との出入口 |
機能の有効化、定義の契約 |
| 回線の途中に置く専用機 |
TippingPoint、EdgeIPS |
高速な回線、工場内の区画 |
故障時の通信、設置の条件 |
| クラウド型 |
AWS Network Firewall、Azure Firewall Premium、Cloud IDS |
クラウドの中の通信 |
検知だけか、料金の計算 |
製品の一覧はIDS・IPS製品の比較で、処理性能や止め方の項目を並べて見られます。ここでは、どの種類を見るかの決め方を説明します。
自社の規模ならどれから絞る？
社員数は目安の1つです。実際に決めるのは、見たい通信の場所と、運用する人の有無です。
社員30人以下で、拠点が1か所の場合
UTMのIPSから確かめます。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版でも、UTMはファイアウォールやIDS・IPSなどを1つのハードウェアに統合したものと説明されています。
UTMが無ければ、IPSだけではなく、UTMそのものを候補にします。UTM・ファイアウォール機器の比較で機種を見られます。公開情報の例では、サクサのSS7000Ⅲはパソコンの同時接続の推奨台数がStdで15台、Proで60台です。ヤマハのUTX100は小規模拠点向けで、希望小売価格は税込176,000円、初年度のセキュリティーライセンスが付きます。
拠点が複数ある、通信量が多い場合
本社と工場を結ぶ会社では、ファイアウォールやUTMの処理性能を先に確かめます。次の節の見方のとおり、IPSを有効にしたときの数字で比べます。
工場の区画を分けて見たい場合
たとえば、生産設備のネットワークと事務所のネットワークの間で通信を見たい場合です。ここでは、回線の途中に置く専用機が候補に入ります。TXOneのEdgeIPSは、2ポートのDINレール型から96ポートのラック型までを案内し、障害時の生産継続を狙うハードウェアバイパスや、ネットワーク構成を変えない設置を説明しています。
実際の設置は、設備会社と一緒に検討してください。止めてよい通信と止めてはいけない通信は、現場の人でなければ分からないからです。
システムがクラウドにある場合
社内の機器では見えない通信が中心なら、クラウド型を見ます。AWS Network FirewallはVPC向けの侵入検知・防止を含むサービスで、Azure Firewall PremiumにはIDPSがあります。
Google CloudのCloud IDSは、脅威を検出して知らせるサービスで、攻撃の防止や修復はしません。同じクラウド型でも、止める役割を持たない製品があるので確かめてください。
カタログの数字はどう読む？
処理性能の見方を間違えると、導入後に通信が遅くなることがあります。FortiGate 70Gのデータシートを例にすると、数字は次のように分かれています。
| 項目 |
公式の数字 |
| ファイアウォールの処理性能（1518バイトのUDP） |
10 Gbps |
| IPSの処理性能 |
2.5 Gbps |
| 脅威防御の処理性能（IPS、アプリ制御、マルウェア防御を有効） |
1.3 Gbps |
一番大きな数字を比べても、IPSを使うときの判断にはなりません。回線の速度と、実際に有効にする機能の組み合わせで比べます。
製品ごとに測り方が違うので、数字の大小だけでは順位を付けられません。TippingPointは1Uで100Gbpsと案内しています。一方、データセンターの回線を想定する機種と、小さな拠点の機種を同じ表で比べても意味がありません。
性能のほかに比べることは？
次の5つを、見積もりの依頼に入れてください。
- 検知だけか、遮断までか：Cloud IDSのように知らせるだけの製品もある
- 機器が止まったときの通信：止めるのか、流すのか。回線の途中に置くなら必ず聞く
- 定義の更新：自動か、どの契約に含まれるか。Check Point IPSは自動更新を案内している
- 誤検知の対応：業務の通信が止まったとき、誰が例外の設定をするか
- 警告の行き先：夜間や休日に、誰がどう受けるか
定義の更新は契約に左右されます。FortiGateなら、UTMライセンスが切れたときの動きのように、検査が動いていても定義が古いままになることがあります。
社内の通信の異常まで見たい場合は、IPSではなくNDRの領域になります。社内を流れる通信を見張る製品なので、NDRの製品比較で役割の違いを確かめてください。
費用はどう見積もる？
機器を買う型は、本体のほかに定義の契約、保守、設定の費用がかかります。専用機とファイアウォール組み込みの製品は、公開価格がなく見積もりになるものが多くあります。
クラウド型は公式に料金を出している例があります。AWS Network Firewallの料金の計算例では、1エンドポイント1時間0.395USD、処理データ1GBごとに0.065USDです。Cloud IDSの料金は、1エンドポイント1時間1.50ドル、検査1GBごとに0.07ドルです。
1か月を730時間として時間料金だけを計算すると、1エンドポイントでAWSの例は約288USD、Cloud IDSは1,095USDです。ここに通信量の料金とほかのサービスの料金が加わります。料金は地域や時期で変わるので、見積もりの前に公式のページで確かめてください。
入れる前に何を試す？
IPSは、業務の通信を攻撃と見誤って止めることがあります。いきなり遮断から始めず、最初は検知だけで動かして、どの通信に反応するかを見られるかを販売店に聞いてください。
たとえば、工場で設備メーカーの遠隔保守を使っている場合です。その通信が遮断されると、保守の作業が止まる可能性があります。遠隔保守、基幹システム、取引先とのデータ交換など、止まると困る通信の一覧を先に作り、試験の期間と切り戻しの手順を決めてから本番に入れます。
新しい製品を入れない判断はある？
あります。UTMのIPSが無効だった、定義の契約が切れていた、という状態を直すだけで済む会社もあります。
警告を見る人がいない場合、製品を増やしても確認の仕事が増えるだけです。運用の体制を先に決めてください。ログインの守りが弱いなら、通信の監視より先にゼロトラストの具体例で示したIDと多要素認証の見直しを進める順番もあります。ネットワーク全体の考え方は、ネットワークのセキュリティのカテゴリにまとめています。
