ゆめさくコード

IDS/IPSと多層防御

luagate/ids-ips-introIDS/IPS入門24 枚セキュリティ
スライド103触れる図解124レッスンの導入6

上から下へ、全 24 枚そのまま並べています。

発表モードで開く

IDS/IPS入門

IDS/IPSと多層防御

何重にも守る 〜検知と防御〜

1
1

目次

今日の流れ

1. ファイアウォールの復習とその限界

2. IDS 侵入の検知

3. IPS 侵入の防御

4. WAFと多層防御の考え方

5. まとめと振り返り

2
2
IDS/IPS入門 - イントロ

今日のゴール

この時間で身につけてほしいことです。

  • ファイアウォールだけでは不十分だと分かる
  • IDS（侵入検知）の役割が分かる
  • IPS（侵入防御）の役割が分かる
  • IDSとIPSの違いを説明できる
  • 多層防御という考え方をイメージできる
10
3
IDS/IPS入門 - イントロ

復習 ファイアウォールとは

前回学んだファイアウォールを思い出すと、IDS/IPSの位置づけが分かりやすくなります。

  • 通信の出入口に立つ「関所」だった
  • 送信元や宛先ポートを見て仕分けた
  • ルールに合う通信だけを通した
  • 合わない通信はその場で遮断した
  • あくまで「許可・遮断のルール」での判断だった
11
4
IDS/IPS入門 - イントロ

それだけでは不十分

ファイアウォールを通り抜けてくる攻撃もあります。関所をすり抜ける相手への備えが要ります。

許可した通信に紛れる
  • Web通信は普段から許可
  • その中に攻撃を混ぜられる
中身までは見ない
  • 荷札（IPやポート）は見る
  • 荷物の中身までは確認しない
通った後を見張れない
  • 関所を通った後は素通り
  • 異常な動きに気づけない
12
5
IDS/IPS入門 - イントロ

関所を通り抜ける攻撃

正規の通信に見せかけて関所を通ると、ファイアウォールは止められません。だから追加の見張りが要ります。

  • 攻撃者は許可された通信の形をまねる
  • 荷札が正しければ関所は通してしまう
  • 中身を見て「おかしさ」に気づく仕組みが必要
  • それがIDSやIPSの出番になる
  • ファイアウォールと役割を分担して守る
13
6

IDS/IPS入門 - 検知

2

第2部 IDS 侵入を検知する

異常に気づいて知らせる

20
7
IDS/IPS入門 - 検知

IDS とは

通信を見張り、怪しい兆候を見つけたら知らせてくれる仕組みです。

IDS（Intrusion Detection System / 侵入検知システム）

ネットワークやサーバーの通信を監視し、攻撃や不正の兆候を見つけたら管理者に知らせる仕組み。建物に置く「防犯カメラと警報」のように、異常を検知して通報する役割。

・通信を常に見張る防犯カメラ役

・攻撃や異常の兆候を見つける

・見つけたら管理者へ警報を出す

・通信そのものは止めない（知らせるだけ）

・気づくことに専念する

21
8
IDS/IPS入門 - 検知

検知の2つの仕組み

IDSが「怪しい」と判断するやり方には、大きく2通りあります。

シグネチャ型 / アノマリ型

シグネチャ型は既知の攻撃パターン（手口の指名手配書）と照合して見つける。アノマリ型は普段と違うふるまい（いつもと違う動き）を異常として見つける。

・シグネチャ型は既知の手口と照合する

・指名手配書と顔を見比べるイメージ

・アノマリ型は普段との差で気づく

・いつもと違う動きを異常とみなす

・両方を組み合わせると見逃しが減る

22
9
IDS/IPS入門 - 検知

IDSの置き場所

どこを見張るかで、2つのタイプに分かれます。役割の違いを押さえましょう。

ネットワーク型
  • 通信の流れを見張る
  • ネット全体を広く監視
ホスト型
  • 1台のサーバーを見張る
  • ログやファイルの変化を監視
組み合わせ
  • 広い監視と狭い監視を併用
  • 死角を減らせる
23
10

IDS/IPS入門 - 防御

3

第3部 IPS 侵入を防ぐ

検知して、その場で止める

30
11
IDS/IPS入門 - 防御

IPS とは

IDSが「気づいて知らせる」のに対し、IPSは「気づいて自分で止める」仕組みです。

IPS（Intrusion Prevention System / 侵入防御システム）

攻撃の兆候を検知したら、その通信をその場で自動的に遮断する仕組み。警報を鳴らすだけでなく、シャッターを下ろして侵入そのものを食い止める警備員のような役割。

・攻撃を検知したら自動で遮断する

・通信の通り道に置いて止める

・知らせるだけでなく実際に防ぐ

・対応が速く被害を抑えやすい

・判断を誤ると正常な通信も止まる

31
12
IDS/IPS入門 - 防御

IDSとIPSの違い

・検知までは同じですが、その後の動きが正反対です。「知らせる」か「止める」かが分かれ目です。

IDS（検知）

  • 異常を見つけて知らせる
  • 通信は止めない
  • 防犯カメラと警報のイメージ
  • 誤検知でも実害は出にくい

IPS（防御）

  • 異常を見つけてその場で止める
  • 通信の通り道に置く
  • シャッターを下ろす警備員のイメージ
  • 速く防げるが誤遮断に注意
32
13
IDS/IPS入門 - 防御

ファイアウォール・IDS・IPSの比較

3つは役割が重なりつつも違います。何を見て、どう動くかで整理します。

見るもの
動き

ファイアウォール

IPやポート（荷札）

ルールで許可・遮断

IDS

通信の中身・ふるまい

異常を検知して通報

IPS

通信の中身・ふるまい

異常を検知して遮断

33
14

IDS/IPS入門 - 多層防御

4

第4部 WAFと多層防御

何重にも守る

40
15
IDS/IPS入門 - 多層防御

WAF とは

Webアプリに特化した守りで、入力フォームなどを狙う攻撃を防ぎます。

WAF（Web Application Firewall）

WebサイトやWebアプリに届くリクエストの中身を調べ、フォーム入力などを悪用する攻撃を防ぐ仕組み。Web専用の門番として、アプリへの不正なリクエストをはじく。

・Webアプリ向けに特化した守り

・リクエストの中身まで調べる

・入力欄を悪用する攻撃を防ぐ

・ファイアウォールより上の層を守る

・アプリの前に置く専用の門番

41
16
IDS/IPS入門 - 多層防御

多層防御（縦深防御）

1つの壁に頼らず、何重もの守りを重ねる考え方です。

多層防御（縦深防御 / Defense in Depth）

1つの対策だけに頼らず、入口・通信・端末・アプリと、複数の守りを層のように重ねる考え方。1枚の壁が破られても、次の壁が被害を食い止める。

・守りを1枚に頼らない

・入口・通信・端末・アプリを重ねて守る

・1つ破られても次が止める

・お城の堀・石垣・天守のイメージ

・被害が奥まで届きにくくなる

42
17
IDS/IPS入門 - 多層防御

何重もの守りの全体像

入口から内側まで、役割の違う守りが重なって全体を守ります。

多層防御
入口の守り
ファイアウォール（関所）
WAF（Web専用の門番）
通信の見張り
IDS（検知して通報）
IPS（検知して遮断）
運用の守り
SOCによる24時間監視
ログの分析と対応
43
18
IDS/IPS入門 - 多層防御

SOC 監視の役割

仕組みを置いても、見て対応する人がいて初めて守りが回ります。その中心がSOCです。

集めて見張る
  • 各機器のログを集約
  • 24時間体制で監視
異常に対応する
  • 警報を受けて調査
  • 本物の攻撃か見極める
改善につなげる
  • 対応の記録を残す
  • 次の守りに反映する
44
19
IDS/IPS入門 - 多層防御

守りの層と侵入の届きにくさ（イメージ）

守りを重ねるほど、攻撃が奥まで届きにくくなります。あくまでイメージです。

95 防げる割合(イメージ)765738190
40防げる割合(イメージ)
70防げる割合(イメージ)
92防げる割合(イメージ)
守り1層
守り2層
守り3層以上

出典: 守りの層数と防御力の傾向を示す概念図（概算）

45
20
IDS/IPS入門 - まとめ
クイズ

振り返りクイズ

今日の内容を確認しましょう。

攻撃を検知したら「その場で自動的に通信を遮断する」のはどれ？

A
IDS
B
IPS
C
ホワイトリスト
D
アノマリ型
50
21
IDS/IPS入門 - まとめ
答え

振り返りクイズ 解答

攻撃を検知したら「その場で自動的に通信を遮断する」のはどれ？

A
IDS
B
IPS
C
ホワイトリスト
D
アノマリ型

検知して自動で遮断するのはIPS（侵入防御システム）です。IDSは異常を検知して管理者に知らせるだけで、通信そのものは止めません。「知らせる」のがIDS、「止める」のがIPSと覚えましょう。

51
22
IDS/IPS入門 - まとめ

質疑・次回予告

今日のまとめと、次に学ぶテーマです。質問があればここで受け付けます。

今日のおさらい
  • IDSは検知して知らせる
  • IPSは検知して止める
  • 守りは何重にも重ねる
次回予告
  • 脆弱性管理とパッチ 〜穴をふさぎ続ける〜
  • 守りの「穴」をふさぎ続ける運用を学ぶ
52
23
"

守りは1枚の壁では足りない。関所（ファイアウォール）を抜けてくる相手には、検知のIDSと防御のIPSを重ねる。何重もの守りこそが、奥まで攻撃を届かせない一番の備えになる。

— IDS/IPS入門

53
24