「IDS・IPSって何？」「ファイアウォールやWAFとどう違うの？」——そんな疑問をお持ちではないでしょうか。IDS・IPSはネットワークへの不正侵入を検知・防御するセキュリティシステムで、ファイアウォールでは防げない攻撃への対策として重要な役割を担います。本記事では仕組み・種類・防げる攻撃・各種ツールとの違い・選定ポイントまで初心者向けに解説します。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

IDSとは

IDS（Intrusion Detection System）は「不正侵入検知システム」と呼ばれ、ネットワーク上の不正アクセスや攻撃の兆候を検知して管理者に通知するセキュリティシステムです。火災報知器が煙を検知して警報を鳴らすように、IDSは異常を知らせるだけで通信の遮断は行いません。検知後の対応は管理者の判断に委ねられます。

IPSとは

IPS（Intrusion Prevention System）は「不正侵入防御システム」と呼ばれ、不正アクセスを検知すると同時に自動で通信を遮断・防御するセキュリティシステムです。スプリンクラーが火災を検知して自動で水を噴射するように、管理者の対応を待たずにリアルタイムで脅威をブロックします。ただし誤検知が発生すると正常な通信まで遮断されるリスクがあるため、適切なチューニングが必要です。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

IDSとIPSの違い

機能・ネットワーク構成の違い

IDSとIPSの最大の違いは「検知するだけか、防御まで行うか」という点です。

IDSは通信をコピーして分析する「ミラー型」の設置が可能なため、通信経路に直接設置する必要がありません。一方IPSは不正な通信を実際に遮断するため、すべての通信が通過する「通信経路の間（インライン型）」に設置する必要があります。

メリット・デメリットの比較

IDSとIPSはどちらを選ぶべき？

IDSが向いているケース

• システムの安定稼働を最優先したい
• 誤検知によるサービス停止のリスクを避けたい
• セキュリティ担当者が常時監視できる体制がある

IPSが向いているケース

• 情報漏洩対策を最優先したい
• リアルタイムでの脅威防御が必要
• 人的リソースを削減して自動化を進めたい

実際にはIDSとIPSを併用するのが一般的です。IDSで幅広い通信を監視・ログ収集しながら、IPSで重要なシステムへの不正アクセスを自動遮断するという組み合わせにより、それぞれの強みを活かした多層的な防御体制を構築できます。

IDS/IPSの種類

クラウド型

クラウドサービスとして提供されるIDS/IPSです。インターネット経由で利用できるため、物理的な機器の設置やネットワーク設定の変更が基本的に不要で、比較的短期間・低コストで導入できます。

検知パターンの設定や調整もサービス提供ベンダーが行うため、運用工数の負担が少ない点も特徴です。特にセキュリティ担当者が少ない中小企業に向いています。ただし、検知能力や機能はベンダーによって差があるため、事前の確認が必要です。

ホスト型

監視対象となるサーバーや端末に直接IDS/IPSのソフトウェアをインストールする形態です。ホスト内部で起こるイベント（ログ・ファイルアクセス・プロセスの動作など）を詳しく監視できるため、外部攻撃だけでなく内部不正への対策にも有効です。

ただし、監視対象のホストごとにインストールが必要なため、サーバー数が多い場合はコストや管理の手間が増大します。

ネットワーク型

ネットワーク上の要所（ゲートウェイなど）にIDS/IPSを設置し、広範囲にわたる通信全体を監視・防御する形態です。ネットワークを横断的に監視できるため、ホスト型と比べて対応範囲が広い点が特徴です。

ホスト型やクラウド型と組み合わせて導入されるケースも多く、ネットワーク全体の可視性を高める目的で活用されます。ただし、処理できる通信量を超えると検査待ちが発生する可能性があるため、通信量に応じた製品選定が重要です。

3種類の比較表

IDS/IPSの検知の仕組み

シグネチャ型

あらかじめ既知の攻撃パターン（シグネチャ）をデータベースに登録しておき、通信内容がそのパターンと一致した場合に攻撃と判断する検知方法です。

既知の攻撃に対しては高い精度で検知でき、誤検知も比較的少ないのがメリットです。ただしデータベースに登録されていない未知の攻撃やゼロデイ攻撃は検知できないため、シグネチャを常に最新状態に更新し続ける必要があります。

アノマリ型

平常時のネットワーク通信やシステムの挙動を「正常な状態」として学習し、そのベースラインから外れた異常な挙動を攻撃として検知する方法です。

パターンファイルに依存しないため、未知の攻撃やゼロデイ攻撃にも対応できる点が強みです。ただし、業務内容の変化などで通信パターンが変わった際に誤検知が発生しやすく、適切なベースラインの設定と継続的な更新が必要です。

シグネチャ型とアノマリ型の比較表

実際のIDS/IPS製品では、シグネチャ型とアノマリ型を組み合わせて使用するケースが多く、互いのデメリットを補完し合うことでより高い検知精度を実現しています。

IDS/IPSで防げる攻撃・防げない攻撃

IDS/IPSで防げる攻撃

IDS/IPSはネットワークレベルやOSレベルで発生する以下のような攻撃に対して有効です。

DDoS攻撃・DoS攻撃

攻撃対象のサーバーに大量のパケットを送りつけ、過剰な負荷をかけることでサービスを停止させる攻撃です。DDoS攻撃は複数のコンピューターから、DoS攻撃は単一のコンピューターから実行されます。IDS/IPSは異常な通信量を検知・遮断することでこれらの攻撃を防げます。

SYNフラッド攻撃

TCP接続の確立に使われるSYNパケットを大量に送信してサーバーのリソースを枯渇させ、正規ユーザーの通信を妨害するDoS攻撃の一種です。IDS/IPSは異常な量のSYNパケットを検知して防御できます。

バッファオーバーフロー攻撃

コンピューターのメモリ領域（バッファ）の許容量を超えるデータを送りつけることで、システムを誤作動させたり悪意あるコードを実行させたりする攻撃です。IDS/IPSはこのような異常なデータ送信パターンを検知できます。

マルウェア感染

ウイルス・ワーム・トロイの木馬・ランサムウェアなどの不正なソフトウェアによる感染をIDS/IPSのシグネチャ照合で検知・防御できます。

エクスプロイト攻撃

OSやWebサーバーの脆弱性を悪用して不正な操作を行うプログラムや攻撃手法です。IDS/IPSは既知のエクスプロイトのパターンを検知して防御します。

IDS/IPSで防げない攻撃

IDS/IPSはWebアプリケーションの脆弱性を狙った攻撃を防ぐことが困難です。

SQLインジェクション

Webアプリケーションの入力フォームから不正なSQL文をデータベースに送り込み、データの不正取得・改ざん・削除などを行う攻撃です。正規のHTTPリクエストの形を装っているため、IDS/IPSでは検知が難しく、WAFによる対策が必要です。

クロスサイトスクリプティング（XSS）

脆弱性のあるWebサイトに悪意あるスクリプトを埋め込み、そのサイトを訪問したユーザーのブラウザ上でスクリプトを実行させる攻撃です。WebアプリケーションのHTTP通信の内容まで精査するWAFでの対策が必要です。

OSコマンドインジェクション

WebサーバーへのリクエストにOSへの命令文を混入させ、サーバー内ファイルの改ざん・削除・外部流出などを狙う攻撃です。Webアプリケーション層の脆弱性を悪用するためIDS/IPSでは防御が困難です。

防げない攻撃への対策

IDS/IPSで防げないWebアプリケーション層への攻撃にはWAF（Web Application Firewall）の導入が有効です。また近年は、VPN経由やリモートデスクトップ経由など正規の通信経路を悪用した攻撃が増加しており、これらは暗号化されているためIDS/IPSでの検知が困難なケースがあります。このような脅威には、AIによる機械学習でネットワーク全体の振る舞いを監視するNDR（Network Detection and Response）との組み合わせも検討に値します。

IDS/IPSとファイアウォール・WAF・UTM・EDRの違い

ファイアウォール（FW）との違い

ファイアウォールはネットワークの入口（境界）に設置し、IPアドレスやポート番号などのルールに基づいて通信の許可・遮断を制御するセキュリティシステムです。

IDS/IPSとの大きな違いは「監視するレイヤー」です。ファイアウォールはネットワーク層・トランスポート層での通信制御を担い、IPアドレス・ポートベースでの制御が主です。一方IDS/IPSはOSやミドルウェア層の通信内容を詳細に分析し、ファイアウォールでは防ぎきれないOSの脆弱性を突いた攻撃などに対応できます。

ファイアウォールとは？仕組み・3つの種類・機能・限界を初心者向けに解説

2016.9.26

「ファイアウォールって名前は聞いたことあるけど何をするもの？」「種類や仕組みがよくわからない」——そんな疑問をお持ちではないでしょうか。 ファイアウォールとは外部からの不正アクセスや悪意ある通信を遮断し、社内ネットワークを守るセキュリ

WAFとの違い

WAF（Web Application Firewall）はWebサーバーとWebアプリケーションの間でHTTP/HTTPS通信を監視し、SQLインジェクション・XSS・OSコマンドインジェクションなど、Webアプリケーションの脆弱性を狙った攻撃を検知・防御するシステムです。

IDS/IPSはOSやミドルウェア層を守るのに対し、WAFはアプリケーション層（Webアプリ）を守ります。守備範囲が異なるため、両者を組み合わせることでより強固な多層防御を実現できます。

WAFとは？抑えるべき基本ポイントから解説！

2022.10.14

WebアプリケーションやWebサーバの構築・運用に関わる人なら、誰でも一度は「WAF」という言葉を耳にしたことがあるのではないでしょうか。WAFとは、IT化がめざましく加速している現代において必須のセキュリティ対策です。 ここでは、WAFの

UTMとの違い

UTM（Unified Threat Management：統合脅威管理）は、IDS/IPS・ファイアウォール・アンチウイルス・アンチスパム・Webフィルタリングなど、複数のセキュリティ機能を1つに統合した製品です。

IDS/IPSが特定の機能に特化しているのに対し、UTMは多機能を一括で提供します。中小企業など個別製品の導入・運用が難しい組織にはUTMが向いていますが、大規模環境では各機能に特化した製品を組み合わせる方が柔軟性・性能ともに優れる場合があります。

UTMとは？主な機能と必要性をわかりやすく解説

2022.5.16

ウェブサイトの解析において、トラフィックの流入経路を正確に把握することは非常に重要です。 そこで注目されているのが、UTM（Urchin Tracking Module）です。UTMは、URLにパラメータを付加することで、どの広告やキャン

EDRとの違い

EDR（Endpoint Detection and Response）はPCやサーバーなどのエンドポイントでの不審な挙動を検知・分析し、迅速な対応を支援するセキュリティソリューションです。

IDS/IPSがネットワーク上の通信を監視して外部からの侵入を防ぐことに重点を置くのに対し、EDRはエンドポイントに着目し「すでに侵入した脅威」への対応を得意とします。IDS/IPSとEDRを組み合わせることで、外部からの侵入防御と内部での脅威対応の両方をカバーできます。

EDRとは？EPPとの違いや機能・必要性を分かりやすく解説

2022.10.14

近年、サイバー攻撃は巧妙化・高度化しており、従来の対策だけでは防ぎきれない脅威が増えています。 特にランサムウェアや標的型攻撃、ゼロデイ脆弱性を悪用した攻撃などは大きな問題となっています。こうした中、エンドポイントの防御を強化するソリュー

各セキュリティツールの守備範囲まとめ

IDS/IPSの必要性・導入をおすすめする企業

IDS/IPSが必要な理由

サイバー攻撃は日々高度化・多様化しており、ファイアウォールだけでは防ぎきれない攻撃が増加しています。特にOSやWebサーバーの脆弱性を突いた攻撃・マルウェア感染・DDoS攻撃などは、従来のネットワーク境界防御だけでは対処が困難です。

IDS/IPSを導入することで、これらの攻撃をリアルタイムで検知・防御でき、システム障害や情報漏洩による業務停止・信頼失墜・復旧コストのリスクを大幅に低減できます。

導入をおすすめする企業・事業の例

個人情報・機密情報を扱う企業

クレジットカード情報・医療情報・顧客の個人情報などを取り扱う企業にとって、情報漏洩は事業継続に直結するインシデントです。エクスプロイト攻撃やマルウェアによるデータ流出を防ぐためにIDS/IPSの導入が推奨されます。

無停止・連続稼働が求められるサービスを運営する企業

EC・金融・医療・インフラなど、サービスの停止が許容されない事業では、DDoS攻撃やSYNフラッド攻撃への即時対応が不可欠です。IDS/IPSにより攻撃を即座に検知・遮断してサービスの継続性を守れます。

セキュリティ強化が課題の企業

マルウェア感染や不正アクセスへの対策を強化したい企業・不審な通信のログを詳細に取得したい企業にもIDS/IPSは有効な選択肢です。

IDS/IPS導入時の選定ポイント

クラウド型かアプライアンス型か

クラウド型は導入が容易でコストも比較的低く、ベンダーが運用管理を担うため自社の運用負担が少ない一方、カスタマイズ性が低い面があります。アプライアンス型は自社環境に合わせた細かな設定が可能で障害対応も自社で行えますが、導入コストと運用負担が高くなる傾向があります。自社のセキュリティ要件・IT体制・予算に応じて選択しましょう。

守備範囲・検知性能の確認

IDS/IPS製品によって防御できる攻撃の種類や検知精度が異なります。自社が特に対策すべき攻撃の種類を把握したうえで、それらに対応できる製品を選ぶことが重要です。またFW・WAFなど他のセキュリティ機能を組み合わせた製品（UTM）も視野に入れ、現在不足しているセキュリティ機能を補えるか確認しましょう。

導入・運用コストの把握

初期費用（ハードウェア・ソフトウェア購入費用・導入設定費用）だけでなく、ライセンス費用・保守費用・シグネチャ更新費用・運用管理費用といったランニングコストも考慮が必要です。専門業者に運用管理を委託する場合は別途費用が発生します。複数製品を比較検討し、自社の予算とニーズのバランスを見極めましょう。

サポート体制の確認

IDS/IPSは導入後の運用・チューニングが品質を左右します。シグネチャの更新・誤検知対応・ルール調整などのサポートを提供しているかを確認しましょう。また、24時間365日の緊急サポートがあるか・日本語での問い合わせが可能か・自社と同業界・同規模の導入実績があるかも重要な選定基準です。

IDS/IPSに関するよくある質問

IDSとIPSは併用できる？

できます。実際にIDSとIPSを併用するのが一般的です。IDSで幅広い通信を監視してログを収集・分析しながら、IPSで重要なシステムへの不正アクセスを自動遮断する組み合わせが効果的です。それぞれのメリットを活かしつつ、デメリットを補完し合う構成にすることで、より強固なセキュリティ体制を構築できます。

IDS/IPSだけで十分？

十分ではありません。IDS/IPSはOSやミドルウェア層への攻撃には有効ですが、SQLインジェクション・XSSなどWebアプリケーション層への攻撃は防げません。また、内部不正や暗号化通信を悪用した攻撃にも対応が難しいケースがあります。ファイアウォール・WAF・EDRなどと組み合わせた多層防御が現代のセキュリティ対策の基本です。

IDS/IPSとゼロトラストの関係は？

従来の境界型防御（社内外のネットワークを明確に区別してセキュリティを確保する考え方）では、クラウド環境やテレワーク環境が普及した現代において不十分という指摘があります。そこで「すべての通信を常に検証する」ゼロトラストの考え方が注目されています。IDS/IPSは境界型防御の代表的な手段ですが、ゼロトラストと対立するものではなく、ゼロトラスト環境においてもネットワーク内部の通信監視として重要な役割を担います。両者を組み合わせることでより強固なセキュリティ体制を実現できます。

誤検知が発生した場合はどうすればよい？

誤検知が発生した場合はまず、該当する通信のログを確認して正規の通信かどうかを判断します。正規通信と確認できた場合は、その通信パターンを「ホワイトリスト（許可リスト）」に登録してシグネチャやルールをチューニングします。誤検知はIPSの場合は正常なサービスの停止につながるため、定期的なルールの見直しと継続的なチューニングが重要です。クラウド型を利用している場合はベンダーのサポートに相談しましょう。

まとめ

IDSは不正アクセスを「検知して通知」するシステムで、IPSは「自動的に遮断・防御」するシステムです。DDoS攻撃・マルウェア感染など、ファイアウォールでは防げないOSやミドルウェア層への攻撃に有効ですが、SQLインジェクション・XSSなどWebアプリ層への攻撃にはWAFとの併用が必要です。

ファイアウォール・WAF・EDRなどと組み合わせた多層防御の一つとして、自社の要件に合った製品を選定しましょう。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

よくある質問

IDS/IPSの無料おすすめ製品はありますか？

あります。詳しくはこちらで紹介しています。

IDS/IPSの有料おすすめ製品はありますか？

あります。13製品紹介しています。詳しくはこちら

中小企業でもIPS/IDSを導入すべきですか？

中小企業でも導入すべきです。サイバー攻撃の対象となるのは大企業だけではありません。ネットワークを利用する以上、どんな企業でもサイバー攻撃の脅威にさらされています。詳しくはこちら