アノマリ検知とは？シグネチャ型IDS・IPSとの違いも解説

アノマリ検知とは

アノマリ検知とは、IDS・IPSが実施する不正アクセスを検知する方法のことです。アノマリは、英語で「anomaly」と表記し「異常」を意味します。アノマリ型のIDS・IPSは正常パターンを定義し、登録している範囲から外れた挙動をすべて異常と検知します。

例えば、プロトコルやトラフィック量が登録している値と異なる場合などに、不正アクセスと判断する仕組みです。そのため、アノマリ型は未知の脅威を検知しやすい傾向にあるでしょう。しかし、正常値の定義にミスがあると、誤検知する可能性もあります。業務に必要な通信も異常と検知してしまうと、管理する手間が増加し、業務に支障が出るおそれもあるでしょう。新しい通信が増える際には、正常値の再定義が求められます。

シグネチャ型のIDS・IPSとの違い

IDS・IPSの不正アクセスの検知方法には、アノマリ型のほかにシグネチャ型もあります。シグネチャ型とは、不正検出型といわれ、データベースに不正パターンを登録し、定義した値に一致する通信を不正アクセスとして検知する方法のことです。

シグネチャ型のメリットは、過去に経験した攻撃を正確にブロックできることです。脅威となる情報があれば高い防御を実現し、誤検知の発生も少ないといえるでしょう。

しかしシグネチャ型のIDS・IPSは、登録されている値のみに対応するため、未知の脅威に対する防御力が低いといえます。確実性が高いことから、シグネチャ型のIDS・IPS製品が主流でしたが、多様化する脅威に対しては、限界があるといわれています。

未知の脅威に備えたい場合はアノマリ型、防御したい攻撃が明確な場合はシグネチャ型IDS・IPS製品の導入が効果的です。以下のページでは、おすすめIDS・IPS製品を比較しているため、セキュリティシステム導入の参考にしてください。

しきい値で実施する監視との差

しきい値とは、通信料やCPU使用率、プロトコルなどをあらかじめ定義した値のことです。定義したしきい値と異なる場合に、異常と判断する方法は、セキュリティ対策の主流でした。しかし、多様化する脅威への対応や長期間かけて徐々に変化する値を検知するのは、困難です。

アノマリ検知は、しきい値で判断するだけではなく過去のデータと比較して検知できます。定義されたしきい値以外の異常や、障害の予兆も検知できるため、アノマリ検知は効果的なセキュリティ対策として利用されています。

以下のボタンではITトレンドがおすすめするIDS・IPS製品について、無料で一括資料請求ができるため、ぜひご覧ください。

IDS・IPSの注意点

IDS・IPS製品を導入すると、不正アクセスを検知し遮断できます。製品により、脅威の検知方法や監視方法があり、対応範囲も異なります。ここでは、IDS・IPS導入の注意点を解説するので、セキュリティ対策の参考にしてください。

IDS・IPSは運用の負荷が大きい

IDS・IPSには、脅威を監視する方法としてネットワーク型とホスト型があります。しかし、どちらも運用の負荷が大きいといえるでしょう。ホスト型IDS・IPS製品では、サーバやコンピュータなどホストのリソースを多く使用します。IDS・IPS製品を運用すると負担は増大し、通信速度が遅くなるなどパフォーマンス低下の可能性もあるでしょう。

ネットワーク型のIDS・IPS製品では、ネットワークの通信をすべて確認するため、多くのリソースが求められます。また、監視対象の情報も一定期間保存しておくため、メモリも圧迫する場合もあるでしょう。IDS・IPS製品を導入する際は、自社のネットワークやサーバの利用状況を把握する必要があります。

多層防御が必要

IDS・IPS製品は、不正アクセスの検知に対応していますが、多様化する脅威の対策に万全とはいえません。セキュリティ対策の強化には、複数のセキュリティシステムを併用した「多層防御」が求められるでしょう。

IDS・IPS製品ではWebアプリケーションに対する防御ができません。Webアプリケーションの防御に特化したWAFも導入し、守備範囲を広げる必要もあるでしょう。また、通信の送信元や宛先の監視をするファイアウォールも効果的です。IDS・IPSは通信の中身を監視するため、ファイアウォールと併用することで、セキュリティ大作の強化につながるでしょう。

ITトレンドがおすすめするIDS・IPS製品には、WAFやファイアウォールも搭載したシステムもあります。まずは人気の製品について知りたい方は、以下のボタンより最新の資料請求ランキングをご覧ください。

アノマリ検知を理解して適切なセキュリティ対策をしよう

アノマリ検知とは、あらかじめ定めた値と異なる挙動をした際に、異常と判断する脅威の検知方法です。一方シグネチャ型では、不正パターンを設定し定められた値に対して異常と判断します。従来は、しきい値で判断するセキュリティ対策が主流でした。しかし脅威の多様化に伴い、しきい値だけではなく過去のデータと比較し判断できるアノマリ検知の採用が増加傾向にあります。

IDS・IPSは、運用の負荷が大きいため注意しましょう。また、IDS・IPSだけでは対応できない脅威には、多層防御が求められます。アノマリ検知をはじめとする防御について理解をして、自社にあうセキュリティ対策を実施しましょう。