ITトレンドがおすすめする製品・サービス
- ■移行先の形態別
- 専用IPSアプライアンス：SecureSoft Sniper IPS、SecureSoft Sniper ONE、EdgeIPS、McAfeeNetworkSecurityPlatform
- UTM・次世代ファイアウォール一体型：ビジネスセキュリティ（VSR）
- クラウド型・ホスト型：TippingPoint、CriticalSystemProtection
- ■障害時の備え別
- 機器障害時に通信を通すバイパス機能あり：SecureSoft Sniper IPS、SecureSoft Sniper ONE
- 冗長構成に対応：EdgeIPS
- ■切り替え時の運用別
- 監視モードと防御モードを切り替えられる：EdgeIPS
- 運用監視・保守を24時間365日任せられる：ビジネスセキュリティ（VSR）
IPSの乗り換え先は専用機・UTM・クラウドの3形態
IPSを入れ替える際は、同じ専用機へ更新するだけでなく、ほかの形態へ移る選択肢もあります。形態によって設置場所や管理画面、費用の発生の仕方が変わるため、現行の構成と運用体制にあうものを選ぶことが大切です。
専用IPSアプライアンス
専用IPSアプライアンスは、侵入防御の機能に特化した機器をネットワークの経路上に設置する形態です。ファイアウォールとは別の機器として動くため、既存のネットワーク機器の構成を大きく変えずに入れ替えられる場合があります。
大量の通信を検査する拠点や、セキュリティ機器の役割を分けて管理したい企業で検討される形態です。一方で、機器の台数が増えると設置場所や保守契約の管理も増えるため、運用の手間とあわせて判断しましょう。
UTM・次世代ファイアウォールのIPS機能
UTMや次世代ファイアウォールは、ファイアウォールやウイルス対策、IPSなど複数の防御機能を1台にまとめた機器です。専用機からUTMへ乗り換えると、管理する機器と画面を減らせる可能性があります。
ただし、複数の機能を同時に有効にすると、機器全体の処理性能が下がる場合があります。IPSだけを動かしたときの性能ではなく、実際に使う機能をすべて有効にした状態の性能を確認しましょう。拠点が多い企業では、複数台をまとめて管理できるかも確認項目です。
クラウド型・ホスト型のIPS
サーバをクラウドへ移した企業では、クラウド上で動くIPSや、サーバにソフトウェアを入れるホスト型のIPSへ移る選択肢もあります。IPS専用の機器を社内に置かないため、専用機の設置作業や入れ替えが不要です。
一方で、どの通信を検査できるかは、クラウドサービスの構成や製品の対応範囲によって異なります。社内ネットワークとクラウドの両方を守る必要がある場合は、複数の形態を組み合わせる構成も含めて検討するとよいでしょう。
IPSの入れ替えで確認したい性能と障害時の動作
IPSは通信の通り道に置かれるため、処理が追いつかなければ通信が遅くなり、機器が故障すれば通信が止まる恐れがあります。乗り換えでは、防御の機能だけでなく、通信を止めないための性能と障害時の動作を事前に確認しておく必要があります。
検査を有効にした状態の処理性能
IPSの処理性能は、1秒間にどれだけの通信を検査できるかで示されます。注意したいのは、カタログに複数の数値が載っている場合があることです。検査を最小限にした状態の値と、IPSの検査を有効にした状態の値では差が出ることがあります。
比較する際は、自社で有効にする予定の機能と同じ条件での値を提供会社に確認しましょう。現行のIPSで記録されている通信量のピークに、今後の増加の見込みを加えた値を基準にすると、性能不足による遅延を避けやすくなります。
機器障害時に通信を通すバイパス機能
バイパス機能とは、IPSの機器が故障したり停止したりした場合に、検査をせずに通信だけを通す仕組みです。障害時に通信を止めない設定をフェイルオープン、安全を優先して止める設定をフェイルクローズと呼びます。
業務を止めないことを優先するか、検査されない通信を通さないことを優先するかは、守る対象によって判断が分かれます。現行機器の設定を確認したうえで、移行先がどちらに対応しているかと、切り替わり方を提供会社に確認しましょう。
冗長構成の組み方
機器の故障に備えて、IPSを2台用意し、1台が止まってももう1台で検査を続ける構成を冗長構成と呼びます。現行で冗長構成をとっている場合は、移行先でも同じ構成が組めるかを確認します。
2台が同時に動く構成か、片方が待機する構成かによって、必要なライセンスの数や費用が変わることがあります。ネットワーク機器との接続方法も構成ごとに異なるため、ネットワークの設計を担当する部署や構築を依頼する会社と早めに相談しておきましょう。
遮断ポリシーを検知モードから段階的に有効化
新しいIPSの遮断ポリシーをいきなりすべて有効にすると、誤検知で業務の通信まで止まる可能性があります。そこで、検知のみのモードで動かす期間を設け、影響を確かめながら遮断の範囲を広げていく進め方が有効です。
1. 検知のみのモードで動かす期間を設ける
まず、新しいIPSを経路上に設置したうえで、遮断はせずに検知と記録だけを行うモードで動かします。この期間に、どの通信がどのルールに該当しているかをログで確認します。
月末処理や定期バッチなど、特定の時期にしか発生しない業務通信もあるため、期間は業務の周期を一通り含む長さにするとよいでしょう。旧IPSで除外していた通信や、許可していた取引先のIPアドレスも、この段階で移行先に反映しておきます。
2. 影響の小さい区間から遮断を有効にする
検知のみの期間で誤検知を調整したら、遮断を有効にします。いきなり全体に広げるのではなく、重要度の高い攻撃のルールから、あるいは影響が限られるネットワーク区間から順に有効にしていきます。
遮断を広げるたびに、業務部門からの問い合わせや通信のエラーが増えていないかを確認しましょう。どのルールをいつ有効にしたかを記録しておくと、不具合が起きた際に原因となったルールを特定しやすくなります。
3. 誤遮断が起きた場合の戻し手順を決める
遮断を有効にした後に業務の通信が止まった場合に備えて、元に戻す手順を事前に決めておきます。該当するルールを検知のみに戻す操作や、特定の通信を除外する設定の手順です。
手順は、特定の担当者だけでなく、夜間や休日に対応する担当者も実行できるように手順書にまとめます。誰が判断して誰が操作するかを決めておくと、誤遮断が起きた際の対応が滞りにくくなります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で不正侵入検知・防御システム（IDS・IPS）の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
入れ替え当日の作業と切り戻し計画
経路上の機器を入れ替える当日は、短時間でも通信が途切れる可能性があります。作業の時間帯と影響範囲を関係者へ伝え、問題が起きた場合に旧機器へ戻すかどうかの判断基準を事前に決めておくと、当日の判断に迷いにくくなります。
作業時間帯と影響範囲の周知
機器の差し替えやケーブルのつなぎ替えでは、通信が一時的に止まることがあります。そのため、作業は業務への影響が小さい時間帯に設定し、停止の見込み時間と影響を受けるシステムを事前に周知します。
社外に公開しているWebサイトやサービスが影響を受ける場合は、利用者への告知も必要です。取引先とのシステム連携がある場合は、相手先の担当者にも作業日時を伝えておくと、通信が途切れた際の問い合わせに備えられます。
切り戻しを判断する基準
切り戻しとは、新しい機器で問題が起きた場合に旧機器へ戻す作業です。どの状態になったら戻すかを、作業前に関係者で合意しておきます。
例えば、主要な業務システムに接続できない状態が一定時間続いた場合や、通信の遅延が業務に支障をきたす水準に達した場合などです。旧機器は設定を残したまますぐに戻せる状態で保管し、戻す作業の手順と所要時間も確認しておきましょう。
新しいIPSで続けたい更新管理とログの見直し
IPSは導入して終わりではなく、攻撃手口の変化や自社のシステム変更にあわせて設定を更新し続ける必要があります。乗り換えを機に、運用の手順と担当範囲を見直しておくと、新しいIPSの防御を維持しやすくなります。
シグネチャ更新と保守契約の管理
IPSは、シグネチャと呼ばれる攻撃パターンの定義を更新することで新しい攻撃に対応します。更新には保守契約やライセンスの継続が前提となる製品もあるため、契約の期限を管理表で把握しておきます。
自動で更新を適用する設定にした場合でも、更新後に誤遮断が起きていないかを確認する手順を決めておくと安心です。更新が止まっていないかを定期的に確認する担当も、複数人で分担しましょう。
遮断ログの定期的な見直し
IPSが遮断した通信の記録は、定期的に見直します。同じ送信元から繰り返し攻撃を受けている場合や、業務の通信が遮断されている場合を把握するためです。
月次などで確認する項目と報告先を決めておくと、運用が担当者任せになりにくくなります。社内での分析が難しい場合は、提供会社やセキュリティの監視サービスに相談する方法もあります。新しいシステムを追加した際には、遮断ルールへの影響も確認しましょう。
IPSの乗り換え先を形態別に比べる一覧
専用機器、UTM、クラウド型・ホスト型のIPSを、障害時の備えとあわせて比べられるようにまとめました。
| 製品名 | 特徴 |
|---|---|
| ビジネスセキュリティ（VSR） | ファイアウォールやIDS/IPSを追加できるUTM。運用監視と保守に24時間365日対応 |
| SecureSoft Sniper IPS | 障害時に自動で起動するバイパス機能を内蔵したアプライアンス型IPS |
| SecureSoft Sniper ONE | IPSにAnti-DDoSなどの機能を組み合わせて使える製品。バイパス機能も備える |
| EdgeIPS | 監視・防御モードの切り替えとデュアル冗長ユニットに対応する産業用IPS |
| McAfeeNetworkSecurityPlatform | 10Gbps～100Gbps級の通信に対応する専用ハードウェアのIPS |
| TippingPoint | 機械学習で未知の不正通信を遮断。フィルタは管理者の操作なしで自動適用 |
| CriticalSystemProtection | ホスト型ファイアウォールや挙動監視、侵入検知・防御で機器を守るソフトウェア |
形態と障害時の備えで選ぶIPS製品
乗り換え先の形態と、故障時に通信を止めない仕組みに注目して製品を選びました。検知モードから段階的に切り替えたい場合の参考にしてください。
ビジネスセキュリティ（VSR）
- 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
- 管理者負担軽減！導入から運用、保守まですべて一括対応。
- 24時間365日の障害検知・切り分けから復旧対応までサポート！
株式会社 USEN ICT Solutionsが提供する「ビジネスセキュリティ（VSR）」は、ファイアウォールやIDS/IPS、拠点間VPNなどをオプションで追加できるUTMです。IDSで検知した不正アクセスに対しては、ADSがファイアウォールと連動して攻撃元との通信を自動で遮断します。危険度ランク1の攻撃は1時間、ランク2は5分と、危険度に応じて通信を止める時間が決められています。運用監視やオンサイト保守、設定変更に24時間365日対応しているため、入れ替え後の障害対応を外部に任せたい企業の候補です。
SecureSoft Sniper IPS （株式会社セキュアソフト）
- 日本語GUIで直感的な操作が可能
- 大量のトラフィックに対しても遅延なく正確に検知
- バイパス機能で障害発生時も正常な通信を確保
SecureSoft Sniper ONE （株式会社セキュアソフト）
- ネットワーク、サーバー環境に合わせて機能を最適化！
- それぞれ高性能なオプションエンジンが自由に選択可能！
- 性能の異なる3つのハードウェアから最適なモデルを利用可能！
EdgeIPS （トレンドマイクロ株式会社）
- ZDI脆弱性DBと仮想パッチでリスク低減。
- 監視・防御モードを切り替え、運用に合わせた保護を提供。
- デュアル冗長ユニットによる自動フェイルオーバー。
McAfeeNetworkSecurityPlatform （Musarubra Japan株式会社）
- 統合検知で高精度、低誤検知を実現。
- 専用ハード設計で10Gbps～100Gbps級通信に対応。
- 複数センサーを集中管理し、VIPSで運用可能。
TippingPoint （トレンドマイクロ株式会社）
- 次世代IPSを超えた、パフォーマンスを低下させないセキュリティ
- 継続的な脅威対策と脅威分析で重要なデータを保護
- 統合されたセキュリティ対応の可視化で集中管理
CriticalSystemProtection （Broadcom Inc.）
- IoT・産業制御システムに最適化された保護。
- ホストFW・FIM・侵入検知/防御機能を提供。
- アプリホワイトリストとサンドボックスで挙動制御。
まとめ
IPSの乗り換えでは、移行先の形態を選び、検査を有効にした状態の性能とバイパス機能を確認します。そのうえで遮断ポリシーを検知のみのモードから段階的に有効にすると、業務通信への影響を抑えられます。入れ替え当日の周知と切り戻しの基準も事前に決めておきましょう。自社の通信量や構成にあう不正侵入検知・防御システム（IDS・IPS）を比べたい方は、資料請求で各製品の形態や障害時の動作を確認してください。
