ITトレンドがおすすめする製品・サービス
- ■監視する対象別
- 社内ネットワークの通信（ネットワーク型）：ビジネスセキュリティ（VSR）、Snort、Suricata、McAfeeNetworkSecurityPlatform、TippingPoint
- サーバ・端末の挙動（ホスト型）：CriticalSystemProtection
- ■移行後の運用別
- 検知に加えて遮断（IPS）も使いたい：ビジネスセキュリティ（VSR）、Snort、Suricata、McAfeeNetworkSecurityPlatform、TippingPoint、CriticalSystemProtection
- シグネチャを自動で更新したい：ビジネスセキュリティ（VSR）、TippingPoint
- 自社独自の検知フィルタを作りたい：TippingPoint
- 24時間365日の監視を任せたい：ビジネスセキュリティ（VSR）
IDSの乗り換えで選び直す監視の場所
IDSを入れ替える際は、まず「どこを流れる通信を見るか」を確認し直します。導入当時と比べて、サーバのクラウド移行やテレワークの拡大で、守るべき通信の通り道が変わっている可能性があるためです。監視の場所によって、選ぶIDSの種類も変わります。
ネットワーク型IDSのセンサー配置
ネットワーク型IDSは、ネットワークの要所に置いたセンサーで通信を監視する形式です。スイッチのミラーポートやTAPと呼ばれる分岐装置から、通信の複製を受け取って分析します。
乗り換えでは、現在のセンサーの設置場所と、そこを流れる通信が今も重要かを確認します。インターネットとの出入口だけでなく、サーバ群の手前や拠点間の通信を監視したい場合は、センサーの台数や配置を見直す必要があります。ネットワーク構成図を最新にしてから検討しましょう。
ホスト型IDSのエージェント配布
ホスト型IDSは、サーバや端末にエージェントと呼ばれるソフトウェアを入れ、ファイルの改ざんや不審なログイン、プロセスの動きを監視する形式です。通信が暗号化されていても、端末内の挙動から異常を把握できる点が特徴です。
乗り換えの際は、現行エージェントのアンインストールと新しいエージェントの配布手順を決めておきます。対応OSやバージョンは製品ごとに異なるため、古いOSのサーバが残っている場合は、移行先が対応しているかを事前に確認しましょう。
クラウド環境の通信監視
サーバをクラウドへ移した企業では、社内に置いたセンサーではクラウド上の通信を見られない場合があります。クラウド環境では、クラウド事業者が提供する通信の複製機能や、仮想マシンに入れるエージェントを使って監視する方法が考えられます。
どの方法が使えるかは、利用しているクラウドサービスと移行先IDSの対応状況によって異なります。社内とクラウドの両方を監視する場合は、検知結果を1つの画面で確認できるかも確認しておくと、運用の負担を比べやすくなります。
検知ルール（シグネチャ）を新しいIDSへ引き継ぐ
IDSは、シグネチャと呼ばれる攻撃パターンの定義と照らし合わせて不審な通信を見つけます。乗り換えでは、提供会社が配布する標準のシグネチャに加えて、自社で追加・変更したルールをどう引き継ぐかが課題です。次の3点を移行前に整理しておきましょう。
標準シグネチャと自社ルールを分ける
まず、現行IDSで有効にしているルールを、提供会社の標準シグネチャと、自社で作成・変更したカスタムルールに分けて一覧にします。標準シグネチャは移行先の提供会社が別途配布するため、そのまま移す必要がないケースがあります。
移行の作業が必要なのはカスタムルールです。ルールの記述形式は製品によって異なる場合があり、同じ内容を書き換えられるかを移行先の提供会社に確認します。書き換えが難しいルールは、目的を記録したうえで代わりの設定方法を相談しましょう。
除外設定の理由を記録する
次に、誤検知を減らすために設定した除外ルールを洗い出します。特定のサーバ間の通信や業務システムの定期処理を、検知の対象から外しているケースです。
除外ルールは、設定した理由が残っていないと、移行先で必要かどうかを判断できません。設定した時期や対象のシステム、除外した理由を表にまとめておきましょう。すでに廃止されたシステムの除外ルールが残っている場合は、乗り換えを機に整理すると、監視の抜け漏れを減らせます。
ルール更新の方法と頻度を確認する
最後に、移行先IDSでシグネチャがどのように更新されるかを確認します。自動で配信されるのか、管理者が適用作業を行うのか、更新の頻度はどの程度かが確認項目です。
更新を適用するには保守契約やライセンスの継続が前提となる製品もあるため、契約期間とあわせて把握しておきます。インターネットに接続できない環境で使う場合は、更新ファイルを取り込む手順も事前に決めておきましょう。
アラートの通知先とIDSの連携先を付け替える
IDSの価値は、検知した内容が適切な担当者へ届き、対応につながることにあります。乗り換えでは、アラートの送り先や連携しているログ基盤の設定が切れやすいため、現行の流れを図にして、移行後も同じ流れが成り立つかを確かめます。
SIEM・ログ基盤への送信形式
IDSのアラートをSIEMと呼ばれるログの統合分析基盤へ送っている場合は、送信形式の互換性を確認します。Syslogなどの送信方式が同じでも、項目の名前や並び順が変わると、SIEM側の分析ルールが動かなくなることがあります。
移行先のログ形式の見本を入手し、SIEM側で取り込み設定や相関分析のルールを修正する必要があるかを確認しましょう。SIEMの運用を外部に委託している場合は、委託先とも作業の分担と時期を調整します。
通知の重要度と担当者の割り当て
アラートは、重要度に応じて通知先や通知方法を分けておくと、対応の優先順位をつけやすくなります。乗り換えでは、現行の重要度の分け方と、移行先の重要度の段階が一致するかを確認します。
通知先が特定の担当者1人だけになっている場合は、この機会に複数人やグループのアドレスへ変更しましょう。夜間や休日の連絡体制、対応手順書の保管場所もあわせて見直すと、担当者の不在時にも対応が滞りにくくなります。
過去ログの保管と参照方法
現行IDSに蓄積された検知ログは、インシデントの調査や監査で必要になることがあります。旧機器を撤去すると参照できなくなる場合があるため、保管期間のルールに沿って事前に出力しておきます。
出力したログを移行先のIDSに取り込めるとは限らないため、SIEMやログ保管用のストレージに残す方法を検討しましょう。保管場所と検索の方法を手順書に記載しておくと、担当者が替わっても参照できます。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で不正侵入検知・防御システム（IDS・IPS）の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
並行稼働の期間に誤検知を減らすチューニング
新しいIDSは、導入直後に誤検知が多く出る場合があります。自社の通信の特徴が設定に反映されていないためです。旧IDSを動かしたまま新IDSを並行稼働させる期間を設け、検知結果を照らし合わせながら設定を調整してから本番の監視に切り替えます。
検知件数の差分の確認
並行稼働中は、新旧のIDSで検知した件数と内容を、日ごとや週ごとに並べて確認します。旧IDSだけが検知した項目は、移行先で必要なルールが抜けている可能性があります。
反対に、新IDSだけが検知した項目は、新たに見つかった不審な通信か、除外すべき業務通信のいずれかです。どちらに当たるかを判断するには、通信の送信元や時間帯を業務の担当部署に確認するとよいでしょう。差分の確認結果は記録し、後の判断材料として残しておきます。
誤検知の除外ルールの見直し
業務通信による誤検知と判断した項目は、除外ルールを追加して通知の対象から外します。ただし、除外の範囲を広く取りすぎると、本当の攻撃も見逃す恐れがあります。
除外は、送信元と宛先、通信の種類を絞り込んで設定するのが基本です。追加した除外ルールには、理由と承認者、見直し予定日を記録しておきましょう。前の章で整理した旧IDSの除外ルールと照らし合わせると、同じ設定を重複して作る手間も省けます。
本番切替を判断する基準
並行稼働をいつ終えるかは、事前に基準を決めておきます。例えば、誤検知の件数が運用できる水準まで下がったこと、通知が担当者へ確実に届いていること、SIEMへの連携が動いていることなどです。
基準を満たしたら、関係者の承認を得て旧IDSの監視を停止します。停止後もしばらくは旧機器を撤去せずに残し、問題が見つかった場合に参照できるようにしておくと安心です。
IDSのまま移るかIPSへ広げるかの判断
乗り換えの機会に、検知だけを行うIDSを続けるか、不正な通信を遮断するIPS（不正侵入防御システム）へ広げるかを検討する企業もあります。両者は役割が異なるため、自社の運用体制にあわせて選ぶのが大切です。
検知のみで運用する場合
ネットワーク型のIDSは通信の複製を監視するため、誤検知があっても業務の通信を直接止めることはありません。業務への影響を避けながら、まず監視の範囲を広げたい場合に向いています。
一方で、検知した後の対応は人が行う必要があります。アラートを確認して対処する担当者や、監視を委託するサービスの体制が整っているのが前提です。夜間に検知した場合の対応手順も、IDSを続けるなら改めて確認しておきましょう。
遮断まで任せる場合
IPSは通信の経路上に設置し、攻撃と判断した通信をその場で遮断します。人が対応するまでの時間差を縮められる点がメリットです。
ただし、誤検知があると正常な業務通信まで止める可能性があるため、IDS以上に慎重なチューニングが求められます。製品によっては、同じ機器で検知のみのモードと遮断するモードを切り替えられるものもあります。まず検知のみで動かし、設定が安定してから遮断を有効にする進め方も検討するとよいでしょう。
IDSの移行先候補と特徴の一覧
検知ルールやアラートの引き継ぎ先として検討しやすいIDS・IPSを一覧にしました。監視する場所や遮断機能の有無を比べる際の参考にしてください。
| 製品名 | 特徴 |
|---|---|
| ビジネスセキュリティ（VSR） | 約9000種のシグネチャで24時間365日監視。毎週の更新に加え緊急時も自動更新 |
| Snort | 通信をリアルタイムに分析し、ルールにもとづく詳細な検査で侵入を検知する |
| Suricata | IDS・IPS・NSMを一体化したオープンソースのセキュリティエンジン |
| McAfeeNetworkSecurityPlatform | 既知・未知の攻撃やDoS/DDoSを検知・防御。複数センサーを集中管理できる |
| TippingPoint | ネットワークの入口と出口で通信を検査・遮断。独自のフィルタも作成できる |
| CriticalSystemProtection | IoT機器や産業用制御システムを守るホスト型の侵入検知・防御機能を搭載 |
検知ルールの移行先として検討したいIDS・IPS
シグネチャの更新方法や遮断への広げやすさに注目して、乗り換え先の候補を選びました。ネットワーク型とホスト型の両方を紹介します。
ビジネスセキュリティ（VSR）
- 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
- 管理者負担軽減！導入から運用、保守まですべて一括対応。
- 24時間365日の障害検知・切り分けから復旧対応までサポート！
株式会社 USEN ICT Solutionsが提供する「ビジネスセキュリティ（VSR）」は、IDSやファイアウォールなどの機能をオプションで組み合わせて使うUTMです。IDSはネットワーク上のパケットや通信の状態を24時間365日監視し、約9000種のシグネチャで多様な攻撃パターンを検知します。シグネチャは毎週の更新に加えて緊急時にも自動で更新されるため、乗り換え後のルール更新の負担を抑えられます。ADSを組み合わせれば、ファイアウォールと連動して攻撃元との通信を自動で遮断でき、検知から遮断へ運用を広げたい場合の選択肢です。
Snort （シスコシステムズ合同会社）
- リアルタイムな通信分析で侵入を検知。
- ルールに基づき攻撃の可能性を詳細に検査。
- 検知と防御を組み合わせたセキュリティ機能を提供
Suricata （Open Information Security Foundation）
- IDS・IPS・NSMを一体化したセキュリティ基盤
- オープンソースで継続的に開発・改善される仕組み
- ネットワーク通信の詳細な可視化と分析に対応
McAfeeNetworkSecurityPlatform （Musarubra Japan株式会社）
- 統合検知で高精度、低誤検知を実現。
- 専用ハード設計で10Gbps～100Gbps級通信に対応。
- 複数センサーを集中管理し、VIPSで運用可能。
TippingPoint （トレンドマイクロ株式会社）
- 次世代IPSを超えた、パフォーマンスを低下させないセキュリティ
- 継続的な脅威対策と脅威分析で重要なデータを保護
- 統合されたセキュリティ対応の可視化で集中管理
CriticalSystemProtection （Broadcom Inc.）
- IoT・産業制御システムに最適化された保護。
- ホストFW・FIM・侵入検知/防御機能を提供。
- アプリホワイトリストとサンドボックスで挙動制御。
まとめ
IDSの乗り換えでは、監視する場所を選び直したうえで、シグネチャと自社ルール、除外設定、アラートの通知先やSIEM連携を引き継ぐことが大切です。並行稼働の期間に誤検知を調整し、基準を満たしてから切り替えると、監視の空白を防ぎやすくなります。IPSへ広げるかどうかも含め、自社にあう不正侵入検知・防御システム（IDS・IPS）を比べたい方は、資料請求で対応環境や運用支援の内容を確認してください。
