IDS（不正侵入検知システム）とは│徹底ガイド

サイバー犯罪者はシステムに異常を検知されることなく不正侵入するため、巧妙な手口や策略を用いてセキュリティ防御をすり抜けようと試みます。

IDSとは、日本語では「不正侵入検知システム（IDS：Intrusion Detection System）」と呼ばれるもので、このような隠蔽工作を見抜くためのツールです。IDSは、ネットワークやシステムのアクティビティを監視し、不正アクセスやポリシー違反が発生した瞬間にフラグを立て、損害が及ぶ前にいち早く対応できる体制を築くためのツールです。

このブログ記事では、IDSの基本知識やIDSが脅威を検知する仕組み、IDSの主な種類、IDSとIPS（Intrusion Prevention System：不正侵入防止システム）およびその他のセキュリティツールとの比較、IDS導入のメリットとベストプラクティスについてまとめました。

IDSとは何の略ですか？

IDSとは「Intrusion Detection System（不正侵入検知システム）」の略で、ネットワーク通信やシステムのアクティビティを監視して、悪意のある動作やポリシー違反の兆候をいち早く検知し、担当者、チーム、システムにアラートするデバイスまたはソフトウェアアプリケーションです。

IDSは、ネットワークやデバイスを監視し、不審な動きがあった瞬間に通知を送信するため、担当者やセキュリティチームが即座に対応できます。ただし、IDS自体は何も遮断できません。遮断できるのはIDSの関連ツールであるIPS（Intrusion Prevention System：不正侵入防止システム）です。

サイバーセキュリティにおける「侵入」の定義は？

サイバーセキュリティにおいて「侵入」の定義とは、コンピュータシステムやネットワークへの不正アクセス、操作、または無効化を試みるあらゆる行為を指します。

侵入には、外部からの侵入（例：ネットワーク外部から攻撃者がソフトウェアの脆弱性を悪用するケース）と、内部からの侵入（例：閲覧権限のないファイルに従業員がアクセスしてしまうケース）があります。また、意図的に障害を発生させるものもあれば、攻撃者が長期間にわたり検知されずにデータを収集できるよう、隠れた状態を維持するものもあります。

侵入手口の代表的な例としては、クレデンシャルスタッフィング攻撃、マルウェア感染、サービス拒否（DoS）攻撃、およびゼロデイ攻撃などが挙げられます。

IDSの導入メリットと機能とは？

大規模なネットワークの防御を担当するセキュリティ部署は、オペレーティングシステム（OS）のログ、ファイアウォールの記録、サーバーのアクティビティの量が膨大すぎて、手作業で確認することが困難です。

IDSは、ファイアウォール、ファイル、ルーター、サーバーにわたるアクティビティを継続的に監視し、容易にアクセス・把握できる形式で情報を通知することで、ITチームの負担を軽減します。

IDSは不審な動きを検出した瞬間に対応担当者にアラートを発します。これにより、「被害が発生するまで侵入に気づかない」という事態を防いで、調査や封じ込めをいち早く開始することが可能になります。

また、IDSはセキュリティ担当者の日々のセキュリティ管理の負担を軽減できます。多くのIDSツールはセキュリティに関する深い専門知識を持たないスタッフでも日常的なアラートを監視したり対応できるように設計されているため、セキュリティ担当は調査側の作業に専念できるようになります。

IDSとその他のセキュリティツール：IDS vs IPS vs ファイアウォール

	IDS	IPS	ファイアウォール
システムの種類	監視およびアラート通知システム	監視および遮断システム	アクセス制御システム
ネットワークインフラ内での配置	アウトオブバンド（タップまたはSPANポートを介して通信のコピーを受信）	インライン（ネットワーク通信の経路上に直接配置）	インライン（ネットワーク境界またはセグメント間に配置）
検知・遮断機能の有無	検知とアラートのみ	検知および能動的な遮断	脅威分析ではなく、事前定義されたルールに基づいてアクセスを遮断
メカニズム	シグネチャおよび異常ベースの通信分析	シグネチャ、異常、および行動ベースの分析と自動応答	IPアドレス、ポート、プロトコルによるルールベースのフィルタリング

IPS（Intrusion Prevention System：不正侵入防止システム）は、IDS（不正侵入検知システム）の機能を拡張したものです。IPSは、既知および新たに現れた攻撃パターンをリアルタイムで検知し、管理者の確認を待つことなく、自動で侵入をブロックできるセキュリティシステムです。

このような特性から、IPSはサービス拒否攻撃や新たな脆弱性を悪用しようとする試みなど、手動による確認の遅れが大きな損害につながる恐れのある、拡散の速い脅威への対策として特に有効です。

IDSは、通信を監視してアラートを発するのみであるのに対し、IPSは通信経路上に直接配置され、検知した内容に基づいてアクションを実行できます。具体的には、悪意のあるパケットの破棄、接続のリセット、IPアドレスのブロックなどを実行します。そのため、大半のセキュリティ部署は、IDSとIPSの機能を併用したIDPS（Intrusion Detection and Prevention System：侵入検知・防止システム）体制を採用しています。

ファイアウォールはIDSやIPSとは異なる仕組みで、攻撃パターンをベースに通信を分析するのではなく、あらかじめ設定された一連のルール（送受信元のIPアドレス、ポート、プロトコルなど）に基づいて通信をフィルタリングします。

ファイアウォールは、ネットワークへのアクセスを許可する対象をルール付けする役割を担うのに対し、IDSはファイアウォールを突破した悪意のある通信を検知・通知し、IPSは検知・ブロックします。

IDS・IPSの検知手法

1つの検知手法に依存するIDSツールもあれば、複数の手法を組み合わせて高精度に検知するものもあるため、採用するIDSツールによっては検知を見逃してしまうケースがあります。IDSで現在使用されている主な検知手法は以下の通りです。

• シグネチャベースの検知：通信やアクティビティを、シグネチャと呼ばれる既知の攻撃パターンのデータベースと比較します。既知の脅威は確実に検知できますが、まだデータベースに登録されていない新しい脅威や改変された脅威は見逃してしまう可能性があります。
• 異常検知（アノマリ型）：正常なネットワークやシステムの動作のベースラインを構築し、そこから著しく逸脱したものをフラグ付けします。これにより、ゼロデイ攻撃など、前例のない新しい脅威を検知できますが、シグネチャベースの検知に比べて誤検知（フォールポジティブ）が発生しやすい傾向があります。
• ポリシーベースの検知：既知の攻撃パターンに一致するかどうかにかかわらず、組織が設定したセキュリティポリシーに違反するアクティビティをフラグ付けします。
• レピュテーションベースの検知：悪意のあるアクティビティに関連していることが既に判明しているIPアドレスやドメインからの危険な通信をブロックまたはフラグ付けします。
• ステートフルプロトコル分析：ネットワークプロトコルの挙動を、ベンダーが定義したそのプロトコルの正しい手順と比較し、攻撃を示唆する可能性のある逸脱をフラグ付けします。
• 行動分析：ログインのタイミングやデータ転送量など、経時的なアクティビティのパターンを分析し、個々のアクションだけでは悪意があるとは断言できない場合でも、特定のユーザーやシステムにとって異常な行動をフラグ付けします。

IDSの主な種類

IDSツールは前述で述べた検知方法の他、システム内の設置場所や監視対象によっても分類できます。どのタイプのIDSツールを採用するかは、適用対象（ネットワーク全体、単一デバイス、特定アプリケーション）に応じて異なります。

ネットワーク型IDS（NIDS）

ネットワーク型IDS（NIDS）は、スイッチのタップまたはSPANポートを介して通信のコピーを受信することで、ネットワークセグメント全体の通信を監視します。

セグメント上のすべてのデバイスを可視化できるため、単一のデバイスを標的とした脅威だけでなく、デバイス間で移動する脅威も検知できます。NIDSの主な弱点は、センサーに到達する前に暗号化された通信や、監視対象のセグメントに一切接触しない単一のホストに限定されたアクティビティは検知できないという点です。

ホスト型IDS（HIDS）

ホスト型IDS（HIDS）は、サーバーやワークステーションなどの個々のデバイス上で直接動作し、デバイス上のシステムコール、ファイルの変更、およびアプリケーションログを監視します。

これにより、HIDSはローカルで行われたファイルや設定の変更など、NIDSでは把握できないアクティビティを可視化できますが、インストールされたデバイスにしか適用されないため、あなたの組織内のすべての対象デバイスに個別でNIDSを導入・メンテナンスする必要があります。

境界侵入検知システム（PIDS）

境界侵入検知システム（PIDS）は、組織のネットワークと外部接続との境界に配置され、その境界を越えようとする侵入の試みを検知します。

そのため、ネットワークの境界に位置する重要なインフラを見守るのに適していますが、ネットワーク内部から発生する脅威（例：侵害された内部アカウント）は検知できません。

アプリケーションプロトコルベースのIDS（APIDS）

アプリケーションベースの侵入検知システムとも呼ばれる「アプリケーションプロトコルベースのIDS（APIDS）」は、一般的なネットワーク通信ではなく、特定のアプリケーションプロトコルの通信を監視します。

通常、Webサーバーとデータベースの間に配置され、両者の間でやり取りされる通信を監視して、SQLインジェクションなどの攻撃の試みを検知します。APIDSは単一のプロトコルを基盤としているため、汎用IDSよりもはるかに具体的なルールを適用できますが、監視対象のアプリケーションにのみ適用されます。

その他のIDS

その他にも知っておきたいIDSの種類を以下にまとめてみました。

• スタックベースのIDSは、オペレーティングシステム（OS）の伝送制御プロトコル／インターネットプロトコル（TCP/IP）スタックに直接組み込まれ、独立した監視層としてではなく、パケットの処理と同時に検査を行う仕組みです。
• ハイブリッドIDSは、上記の2つ以上のIDS（通常はネットワーク型IDSとホスト型IDS）を組み合わせることで、それぞれが単独で提供する範囲よりも広範な範囲をカバーできます。
• クラウドベースのIDSを利用すれば、専用の物理機器を設置・配備することなく、クラウド上のワークロードを監視することができます。

不正侵入検知システム（IDS）の仕組み

IDSはネットワークやシステムの生データを取得し、具体的な問題を記載したアラートを発します。IDSの導入方法はシステムの設定や規模、その他の要因によって異なりますが、初期のデータ収集から検知された脅威の通知に至るまで、基本的な仕組みはほとんど同じです。

1. データ収集とパケット検査

第1段階では、IDSが分析対象のデータを収集し、ブロックすべき潜在的な脅威が存在するかどうかを判断します。

ネットワーク型IDSの場合、スイッチ上のタップまたはSPAN（SPANポートまたはミラーポート）を介してネットワーク通信のコピーをキャプチャし、個々のパケットのヘッダーやペイロードの内容を検査します。ホスト型IDSの場合、システムログ、ファイル整合性記録、およびデバイス上のアプリケーションのアクティビティからデータが取得されます。

いずれの場合も、この段階の目的は、次の段階に向けてアクティビティの全体像を把握することです。この時点でデータ収集が欠落していたり不完全だったりすると、その後の分析がいかに高度であっても、検出できる範囲が狭まってしまいます。

2. パターン照合と異常分析

第2段階では、IDSは1つまたは複数の検出方法（最も一般的なのはシグネチャ照合、異常検出、あるいはその両方）を用いてデータを分析します。ここでは、個々のパケット、ログエントリ、またはシステムコールが蓄積された参照データと照合されます。

IDSは、短期間で発生している繰り返しのアクセス試行や異常なアクティビティにフラグを立てます。また、大半のIDSツールは、単純な「Yes/No」の判定ではなく検知結果に信頼度スコアを割り当てており、不確実な検知が過剰にアラート・エスカレーションされる確率を軽減できるようになっています。

3. アラートおよびレポート機能

最終段階では、システムへの不正アクセスを警告するため、検知されたイベントを担当者や他のシステムが対応しやすい形で通知します。

IDSが特定のアクティビティを「不審」としてフラグを立てると、通信の送信元や宛先、検知されたアクティビティの種類、深刻度などの詳細を含むアラートが生成され、IPS、セキュリティ情報・イベント管理（SIEM）システム、ダッシュボード、あるいは担当者に通知されます。

アラート設定が適切に行われていれば、各イベントに深刻度レベルの優先順位が付けられるため、攻撃の試みを最優先して軽微なポリシー違反は後回しにするなど、効率的に対応できます。多くの組織では、IDSのアラートをチケット管理システムやセキュリティオーケストレーションプラットフォーム（SOAR）に連携させており、ケースの自動作成、イベントの種類に応じた各種担当チームへの通知、定型的な対応手順の自動実行（対応プレイブックの実行）などが可能になります。

IDSを回避するために用いられる手口

IDSは効果的なセキュリティ対策の一つですが、サイバー攻撃者が検知をすり抜けるための技術を使って回避できるケースがあります。これらの回避術を理解することで、IDSの導入後に定期的な調整や更新が必要となる理由がわかります。

• フラグメンテーション：攻撃者が悪意のあるデータ（ペイロード）を小さな複数のパケットに分割し、個々のパケットしか検査しないIDS（侵入検知システム）ツールの脅威検出をすり抜ける手法。
• フラッディング：大量の通信でネットワークやIDSを圧迫し、その中に紛れた不正侵入をシステムが処理・検知しにくくする手法。
• 難読化：ペイロードのエンコードやファイル名の変更など、攻撃の構造を改変して偽装し、既知のシグネチャと一致しないようにする手法。
• 暗号化：悪意のある通信を暗号化されたトンネル経由で送信し、IDSがTLSやSSL検査、あるいはその他の手法を使用して、何が送信されているかを確認できないようにする手法。

IDS導入のメリットと課題点

IDSの導入は、「ネットワークの可視性」や「脅威の検知」など確実なメリットがありますが、導入前に検討すべき課題点も存在します。

IDSの主なメリット

IDSの最大のメリットは可視性でしょう。セキュリティチームは、ネットワークやデバイス全体のインサイトをリアルタイムで得ることができます。見過ごされてしまいがちな偵察活動や、被害が及ぶ前の初期段階の攻撃の兆候などを検知できます。

このようなネットワークの可視性は、コンプライアンスの遵守にも役立ちます。多くの規制枠組みや業界標準ではネットワーク上のアクティビティの継続的な監視とログ記録が求められており、IDSはそうした要件を満たす上でコア的な役割を果たします。

IDSは受動的な監視にとどまらずログやアラートを生成するため、脅威ハンティングの重要な情報源としても活用できます。脅威ハンティングは、セキュリティアナリストがアラートを「受け身で待つ」のではなく、能動的に過去のデータなどを精査して、既存の防御をすり抜けて内部に潜伏している攻撃の兆候を探し出すアプローチです。

IDSの主な課題点

IDSの最大の課題は、正当なアクティビティを悪意のあるものとしてフラグを立ててしまう誤検知（フォールポジティブ）アラートです。誤検知率が高いと、アナリストに無駄な作業が発生したり、誤検知に埋もれて本物のアラート検知の対応が遅れてしまう恐れがあります。

もう一つの課題点は暗号化された通信への対応です。従来のIDSは、追加で復号化インフラを導入しなければTLSや類似の暗号化によって暗号化された通信の中身を把握できないため、セキュリティの死角が生じます。

また、IDSの精度を維持するためには、シグネチャデータベースの定期的な更新や、異常の基準値の定期的な再調整など、継続的なメンテナンスが必要です。メンテナンスを怠っていると検知精度は低下していきます。

IDS導入のベストプラクティス

IDSの導入では製品選定も勿論重要ですが、導入方法での調整も極めて重要です。いくつかのベストプラクティスを実践することで、IDSの誤検知（フォールポジティブ）を極力減らし、本物の脅威をより正確に検知するよう調整できます。

• ベンチマークの確立：正常なネットワークおよびシステムの動作に関する明確なベースラインを確立し、IDSが「異常」とみなすべき状態について正確な基準点を持てるようにします。
• 配置場所：システム全体を単一のセンサーでカバーするのではなく、重要なネットワークのボトルネック（例：ネットワーク境界や重要な内部セグメント間）にセンサーを配置します。
• システムの更新と最適化：シグネチャデータベースを常に最新の状態に保ち、検出ルールを定期的に見直します。古いシグネチャでは新しい脅威を見逃す恐れがあり、ルールが陳腐化すると誤検知を引き起こす原因となります。
• アクセス権限：IDSの設定やアラートを閲覧、変更、または無効化できるユーザーを制限し、攻撃者に不正な変更を加えられる可能性のある脆弱な箇所（ブラインドスポット）の発生を防止します。
• セキュリティ対策の実施：IDSはネットワークセキュリティのあらゆる層をカバーできるソリューションではありません。ファイアウォールやIPSなどの補完的な制御ツールと併用しましょう。
• システムの統合と設定：IDSのアラートをSIEMや集中型ロギングシステムに連携させ、IDSアラートを単独で確認するのではなく、他のセキュリティデータと照合できるようにしましょう。

IDS：よくある質問