アノマリ型のIDS・IPSとは？シグネチャ型との違いも解説！

アノマリ型のIDS・IPSとは？

では、アノマリ型のIDS・IPSの特徴を見ていきましょう。

正常パターンに一致するかで判断

アノマリ型のIDS・IPSは正常パターンを定義します。つまり、登録している正常パターンにそぐわないものを全て検知。

「不審な動きをしている」「挙動が怪しい」など、他と比べて怪しいと判断されたものを検知する仕組みです。警察の職務質問に近いですね。

アノマリ型のメリット：未知の脅威にも対応

アノマリ型IDS・IPSの最大のメリットは、未知の脅威を検知できることです。さまざまな脅威を防御したくてIDS・IPSの導入を考えているのであれば、アノマリ型を導入すると良いでしょう。

アノマリ型のデメリット：誤検出が多い

アノマリ型のデメリットは、シグネチャ型よりも誤検知が多いことです。正常パターンの定義にミスがあれば、本来業務に必要な通信も全て異常と検知してしまいます。

誤検知が多ければ、通知を受け取った管理者が確認する手間も必然的に増えてしまうでしょう。その数が多ければ業務に支障が出る可能性も否めません。新しい通信が増える際は、正常パターンの再定義が必要です。

シグネチャ型のIDS・IPSとは？

アノマリ型のIDS・IPSを紹介してきました。ここからはシグネチャ型のIDSの仕組みや特徴を説明します。

不正パターンに一致するかで判断

シグネチャ型のIDS・IPSとは不正検出型といわれる検知方法で、データベースに不正パターンを登録し、登録されている不正パターンに一致する通信を検知します。ブラックリストを用意するような方法です。

シグネチャ型の場合、特定のパターンを名指しでブロックするため、指名手配に近いと言えるでしょう。

メリット：過去に経験した攻撃はブロックできる

シグネチャ型のメリットは、過去に経験した攻撃を正確にブロックできることです。つまり、脅威となる情報があれば高い防御を実現できます。防御したい攻撃が明確な場合はシグネチャ型のIDS・IPSを選ぶと良いでしょう。

デメリット：未知の脅威に対する防御力が低い

シグネチャ型のIDS・IPSは、登録されていない脅威からは防御できません。つまり、未知の脅威に対する防御力は低いのです。

今まで確実性が高いことでシグネチャ型のIDS・IPSが主流でしたが、これだけでは限界があるといわれています。シグネチャ型で対応できないほどの脅威が増えているためです。

IDS・IPSの注意点

導入する前にIDS・IPSの注意点を押さえておきましょう。では、具体的にIDS・IPSにはどのような注意点があるか解説します。

IDS・IPSは運用の負荷が大きい

IDS・IPSにはネットワーク型とホスト型がありますが、いずれの方法でも運用の負荷が大きいです。

ホスト型であれば、IDS・IPSを導入しているホスト（サーバなどのコンピュータ）のリソースを多く使うことになります。運用するための負担は増大し、通信速度が遅くなるなど導入前と同じパフォーマンスを発揮できないかもしれません。

ネットワーク型のIDS・IPSも、ネットワーク上の通信を漏れなく確認するためには、多くのリソースが求められます。また、監視対象の情報も一定期間保存しておく必要があるため、メモリも圧迫するでしょう。

IDS・IPSはセキュリティ強度を高めるために必要ですが、現在のネットワークやサーバの運用状況を把握しなければ、導入に失敗してしまいます。

多層防御が必要

多様化するセキュリティ上の脅威の対策をするためにも、複数のツールを使った多層防御を検討しなければなりません。

その１つの構成要素であるIDSは、外部からの不正な通信や攻撃を検知することが可能です。実際にIDS・IPSによって通信を監視していれば、セキュリティ対策は完璧だと考えている経営者も少なくありません。

しかし、IDS・IPSに検知できない種類の攻撃も存在するため、多層防御という考え方が重要となります。

アノマリ型とシグネチャ型IDS・IPSの違いを知り対策を！

シグネチャ型のIDS・IPSは、確実性が高い防御体制を実現できますが、未知の攻撃に対する防御には不安が残るでしょう。逆にアノマリ型のIDS・IPSは、未知の脅威もブロックすることが可能ですが、誤検出の頻度は多くなってしまいます。

どちらのタイプが適しているのかは自社のセキュリティ状況によってきます。自社にあった製品を選ぶためには、まず資料請求を行い製品のことについて知り、自社にあった製品を選んでいきましょう。

関連記事

watch_later 2020.05.09

IDS・IPS14製品を徹底比較！導入前に知っておくべき選び方・注意点

続きを読む ≫