IDS・IPSを他の仕組みとつなぐ目的
IDS・IPSは、ネットワークを流れる通信を監視し、不正な侵入と考えられる通信を検知したり遮断したりする仕組みです。連携を検討する前に、単体で運用した場合に何が残るのかを確認しておきましょう。
単体で運用した場合に残る作業
IDS・IPSが通知するのは、監視している通信の中で条件に合致したものです。通知を受けた担当者は、その内容が実際に対処が必要なものかを判断し、必要であれば他の記録と照らし合わせる作業を行います。
他の仕組みの記録が別々の画面に分かれていると、確認のたびに画面を移動する必要があります。通知の件数が増えると確認に時間がかかり、対応の優先順位を付けにくくなる可能性があります。まずは現在どの作業に時間がかかっているかを書き出し、連携で減らせる部分を見極めましょう。
連携の優先順位の決め方
すべての仕組みを一度につなごうとすると、設定と検証にかかる期間が長くなります。効果が大きい箇所から段階的に進める方針にすると、早い段階で成果を確認できます。
優先度を判断する材料は、通知の件数、確認にかかる時間、対応の遅れが業務へ与える影響の大きさです。記録の集約から始め、対応の自動化は運用が安定してから検討するという順序も現実的といえます。社内の体制と照らし合わせて計画を立てましょう。
ログを集約する仕組みとの連携
複数の機器やサービスから出力される記録を一か所にまとめると、状況を横断して確認できるようになります。この役割を担うのがSIEMと呼ばれる仕組みです。
SIEMとの連携で扱う情報
SIEM(Security Information and Event Management)は、機器やサービスから出力される記録を収集し、関連付けて分析するための仕組みです。IDS・IPSの検知記録を送ると、他の記録とあわせた確認が行えるようになります。
確認したいのは、送信できる記録の種類と項目です。検知した内容だけでなく、通信元や通信先の情報、判定に使われた条件まで送れるかによって、分析できる範囲が変わります。送信する項目を選べるかも、ログ転送量や保管容量に関わるため確かめておきましょう。
転送方式と形式の確認
記録を送る方法には、標準的な転送の仕組みを使う方式や、専用の接続を使う方式があります。SIEM側が対応している方式と一致するかを、双方のベンダーへ確認するのが確実です。
形式についても、SIEM側で内容を正しく読み取れるかが重要です。項目の対応付けが必要な場合、その作業を自社で行うのかベンダーが支援するのかを確かめておきましょう。転送が止まった場合に管理者へ通知されるか、送信できなかった記録を後から送れるかもあわせて確認しておくと安心です。
通信を制御する仕組みとの連携
ファイアウォールは、あらかじめ定めた条件にもとづいて通信を許可したり遮断したりする仕組みです。IDS・IPSと役割が近いため、連携の設計では分担を整理しておく必要があります。
ファイアウォールとの連携
IDS・IPSが検知した通信の情報をファイアウォールへ渡し、以後の通信を遮断する設定を追加する形の連携があります。手作業で設定を追加する手間を減らせる点が特徴です。
ただし自動で遮断の設定を追加する構成では、判定が実態と異なった場合に業務で必要な通信まで止まる可能性があります。自動で反映するのか、担当者の確認を挟むのかを選べるかを確認しましょう。設定を元に戻す手順もあわせて用意しておくことが求められます。
役割の重なりと分担の整理
両方の仕組みを導入する場合、どちらでどこまで制御するかを整理しておかないと、設定が重複して管理が煩雑になる可能性があります。判断の基準を文書にまとめておきましょう。
製品によっては、両方の機能を一つの機器で提供する構成もあります。この場合は管理の対象が減る一方、機器が停止した際の影響範囲が広がる点を考慮する必要があります。自社の構成にあう形をベンダーと相談しながら決めていきましょう。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でIDS・IPSの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
端末側の対策や対応の自動化との連携
ネットワークの監視だけでは把握しきれない部分を補うため、端末側の仕組みや、対応を自動化する仕組みとの連携も検討の対象になります。
EDRとの連携
EDR(Endpoint Detection and Response)は、パソコンやサーバといった端末側の動きを記録し、不審な動作を検知する仕組みです。ネットワーク側の記録と組み合わせると、通信が発生した端末で何が起きていたかを確認しやすくなります。
連携で確認したいのは、双方の記録を突き合わせる際に必要な情報がそろうかという点です。端末を特定できる情報が両方に含まれていないと、対応付けに手間がかかります。突き合わせを自動で行える構成かどうかもあわせて確認しておきましょう。
SOARによる対応の自動化
SOAR(Security Orchestration, Automation and Response)は、検知した内容に応じて決められた手順を自動で実行する仕組みです。通知の振り分けや初期の確認作業を自動化できる場合があります。
自動化の対象は慎重に決める必要があります。誤った判定をもとに処理が実行されると、業務に影響が及ぶ可能性があるためです。まずは情報の収集や記録の作成といった影響の小さい処理から始め、遮断や隔離を伴う処理は担当者の確認を挟む構成を検討しましょう。
利用者情報を管理する仕組みとの連携
Active Directoryなど、社内の利用者やアカウントを管理する仕組みと連携すると、通信が発生した端末の利用者を特定しやすくなります。対応の連絡先を早く把握できる点が利点です。
連携する場合は、参照する情報の範囲と権限の扱いを確認しておきましょう。アカウント情報は取り扱いに配慮が必要なため、どの項目をどこまで参照するかを情報システム部門とあわせて整理することが求められます。設定の変更履歴を確認できるかも確かめておきましょう。
API連携で確認したい仕様と運用
標準の連携が用意されていない仕組みとつなぐ場合や、自社の管理画面へ情報を取り込みたい場合はAPI連携が候補になります。APIは、外部の仕組みから機能やデータを呼び出すための接続窓口です。
公開されている操作の範囲
APIで実行できる内容は製品によって異なります。検知記録の取得だけができるものと、設定の変更や遮断の指示まで行えるものがあり、実現したい処理に必要な操作がそろっているかを確かめる必要があります。
仕様書を契約前に確認できるかもあわせて聞いておきましょう。内容を事前に把握できれば、開発にかかる工数を見積もったうえで判断できます。公開されていない場合は、実現したい処理を具体的に伝え、対応の可否を問い合わせる進め方が現実的です。
認証方式と利用条件の確認
APIを使うには接続を許可するための認証が必要です。セキュリティに関わる情報を扱うため、認証の方式や鍵の管理方法が社内の基準を満たすかを、情報システム部門とあわせて確認しておきましょう。
一定時間あたりの呼び出し回数に上限が設けられている場合もあります。記録をまとめて取得する処理を予定している場合、上限に達して取得が止まる可能性があります。想定する件数と頻度を伝えたうえで、上限値と超過した場合の扱いを契約前に確認しておくことをおすすめします。
連携が止まったときの確認手段
連携は運用が始まってからの状態も想定しておく必要があります。記録の転送が止まる、認証でエラーが起きる、一部の項目が欠ける、同じ内容が重複するといった事象は、製品側の更新、自社側の設定、通信環境など複数の要因で起こる可能性があります。
そのため、エラーが起きた際に管理者へ通知されるか、履歴を確認できるか、送信できなかった分を再送できるかを事前に確かめておきましょう。記録の転送が止まったまま気付かない状態は、確認の抜けにつながります。通知先を複数人に設定できるかもあわせて確認しておくことをおすすめします。
記録の集約や連携を確認できるIDS・IPS
検知した内容をどこへ渡し、どう蓄積するかは製品によって考え方が異なります。連携や記録の扱いを確認しやすい製品を紹介します。
ビジネスセキュリティ（VSR）
- 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
- 管理者負担軽減！導入から運用、保守まですべて一括対応。
- 24時間365日の障害検知・切り分けから復旧対応までサポート！
株式会社 USEN ICT Solutionsが提供する「ビジネスセキュリティ（VSR）」は、機器のレンタルと運用の請負を組み合わせたマネージド型のサービスです。ログとアラートを管理する機能や、通信の状況をまとめるトラフィックレポートの機能を備えており、検知の状況を定期的に確認できます。ブリッジやNAT、動的ルーティング、DHCPサーバーやDNSサーバーといったネットワークの機能も提供されるため、既存の構成に組み込む形での導入を検討できます。
McAfeeNetworkSecurityPlatform （Musarubra Japan株式会社）
- 統合検知で高精度、低誤検知を実現。
- 専用ハード設計で10Gbps～100Gbps級通信に対応。
- 複数センサーを集中管理し、VIPSで運用可能。
End-user Endpoint Security （ヴイエムウェア株式会社）
- １つのエージェントで多彩なＯＳや端末を一元保護。
- 脅威の検知から対応までを統合したセキュリティ機能
- クラウド管理により、導入・更新・管理の運用負荷軽減を支援。
まとめ
IDS・IPSの連携性は、記録を集約する仕組み、通信を制御する仕組み、端末側の対策と自動化、API連携という区分で確かめると整理できます。対応の一覧だけで判断せず、受け渡す項目、自動で処理する範囲、エラー時の確認手段まで質問しておくことが大切です。自社の構成にあう製品を見極めるため、資料請求で連携仕様を取り寄せて比較検討してみてください。
