IDS・IPSの運用が続かなくなる背景
IDS・IPSは、ネットワークを流れる通信を監視し、不正な侵入と考えられる通信を検知したり遮断したりする仕組みです。導入の検討時は製品の機能に目が向きやすいものですが、運用の設計を同時に進めておく必要があります。
導入後に発生する作業の量
運用では、通知の確認、内容の判断、必要に応じた調査、設定の調整、記録の保管といった作業が続きます。これらは継続的に発生するため、担当者の業務時間に占める割合を先に見積もっておく必要があります。
検討の段階で作業量を把握していないと、導入後に想定を超える負担が生じる可能性があります。デモやトライアルの際に、1日あたりに想定される通知の件数と、1件の確認にかかる時間の目安をベンダーへ確認しておきましょう。既存の業務との兼ね合いも含めて計画を立てることが求められます。
体制を決めずに始めた場合の影響
誰が通知を受け、どの基準で判断し、どこまで自分たちで対応するかを決めないまま運用を始めると、判断のたびに確認が必要になり、対応が滞る要因になります。
また、担当が明確でない状態では、対応が行われたかどうかを後から確認することも難しくなります。導入の準備段階で、通知の受け手、判断の基準、連絡先、記録の残し方を文書にまとめておきましょう。関係者が参照できる場所に置き、変更があれば更新する運用にしておくことが大切です。
通知の確認が追いつかなくなる場面
運用の相談で多く挙がるのが、通知の件数に対して確認が追いつかないという状況です。件数だけの問題ではなく、判断の仕組みが整っていないことが背景にある場合もあります。
通知が増えて確認が滞る要因
通知が多くなる要因としては、初期の設定が検知を優先する内容になっている、業務で使う通信が対象から外されていない、新しく導入した仕組みの通信が想定されていないといった点が考えられます。要因は一つに限らず、複数が重なっている場合もあります。
まず、通知の内容を種類ごとに集計し、件数が多いものから確認しましょう。業務上必要と判断できる通信であれば、対象から外す設定を検討します。設定を変更する際は、必要な監視まで外れないよう範囲を限定し、変更した内容と理由を記録に残しておくことが求められます。
判断の基準が定まっていない場合
通知の内容を見ても、対応が必要かどうかの判断がつかない場面があります。基準が定まっていないと、担当者ごとに判断が分かれ、対応の水準にばらつきが生じる可能性があります。
重要度ごとに、どの範囲まで自分たちで確認し、どの段階で上位者やベンダーへ相談するかを定めておきましょう。判断に迷った場合の相談先を明記しておくと、確認が止まる状況を避けられます。過去の判断内容を記録に残しておくと、次に同じような通知を受けた際の手がかりになります。
対応を続けられる体制の整え方
対応を1人の担当者に任せる形にすると、休暇や異動の際に確認が止まる可能性があります。人数が限られる場合でも、複数人が状況を把握できる仕組みにしておくことが求められます。
具体的には、通知の宛先を複数人に設定する、確認した内容を共有できる場所に記録する、対応の手順を文書にまとめるといった方法があります。担当者以外でも一次的な確認ができる状態にしておくと、不在時の空白を減らせます。定期的に手順を見直す時期も決めておきましょう。
担当できる人員が限られる場合の進め方
情報システムの専任者がいない企業では、他の業務と兼任しながら運用することになります。限られた時間で続けるための考え方を整理します。
対応範囲を絞る考え方
すべての通知を同じ深さで確認しようとすると、時間が足りなくなります。重要度が高いものに時間を割き、それ以外は定期的にまとめて確認する形にすると、負担を抑えながら運用を続けられます。
絞り込む際は、見落とした場合の影響が大きい通知を優先します。判断が難しい場合は、ベンダーへ相談し、どの通知を優先すべきかの考え方を確認してみましょう。自社だけで抱えず、外部の支援を組み合わせる選択肢も検討することが現実的です。優先度の考え方は定期的に見直し、業務の変化にあわせて調整していきましょう。
記録と引き継ぎの仕組み
兼任の担当者が対応する場合、業務の切り替えによって前回の確認内容を思い出すのに時間がかかることがあります。確認した内容と判断の理由を短くても記録に残しておくと、再開時の負担が減ります。
記録は担当者個人の手元ではなく、他の人も参照できる場所に置きましょう。担当が交代する際の引き継ぎ資料としても使えます。記録の様式をあらかじめ定めておくと、書く内容に迷わず、後から探す際も見つけやすくなります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でIDS・IPSの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
拠点ごとに設定がそろわなくなる場面
複数の拠点で運用する場合、設定の内容が拠点ごとに異なり、どこがどの状態か把握しにくくなることがあります。管理の方法を先に決めておきましょう。
ばらつきが生じる要因
ばらつきの要因としては、拠点ごとに担当者が異なる、導入した時期が違う、拠点の業務内容にあわせて個別に調整した、変更の内容が共有されていないといった点が考えられます。悪意によるものではなく、管理の仕組みが整っていないことが背景にある場合が多く見られます。
現状を把握するため、まず拠点ごとの設定内容を一覧にまとめましょう。共通であるべき項目と、拠点ごとに異なってよい項目を分けて整理すると、見直すべき箇所が明確になります。この作業は時間がかかるため、計画を立てて段階的に進めることをおすすめします。拠点の担当者に協力を依頼する際は、確認してほしい項目を具体的に示すと回答がそろいやすくなります。
統一と例外の両立
すべての拠点を同じ設定にすると、業務の内容が異なる拠点で支障が生じる可能性があります。共通の方針を定めたうえで、拠点ごとの例外を管理する形が現実的です。
設定をまとめて管理できる仕組みがあれば、共通部分の変更を一度で反映できます。例外を設定する際は、その理由と承認した人を記録に残す運用にしておきましょう。定期的に例外の一覧を見直し、不要になったものを整理する時期も決めておくと、管理の負担が積み重なりにくくなります。
外部の監視サービスと分担する場合
社内で監視を続けることが難しい場合、外部の事業者へ委託する方法があります。分担の取り決めが不十分だと、対応の抜けや重複が生じる可能性があります。
委託範囲の取り決め
委託する範囲は、通知の確認までなのか、内容の調査まで含むのか、遮断の判断まで任せるのかによって大きく変わります。契約前に、どこまでを事業者が行い、どこからを自社が担うのかを具体的に定めておきましょう。
範囲があいまいなままでは、実際に事象が起きた際にどちらが動くのかが定まらず、対応が遅れる可能性があります。作業の一覧を作り、それぞれの担当を明記した資料を双方で共有しておくと、認識のずれを減らせます。契約書に反映しておくことも重要です。
連絡の基準と手順
どの内容をどのタイミングで自社へ連絡するかの基準も、あらかじめ定めておく必要があります。基準がないと、重要な内容が定期報告にまとめられ、対応が遅れる可能性があります。
連絡の手段と、受け取る担当者、担当者が不在の場合の代替の連絡先も決めておきましょう。夜間や休日の扱いについても、自社側で誰が受けるのかを含めて確認しておく必要があります。連絡を受けた後に自社で行う手順も、あわせて文書にまとめておきましょう。
認識のずれが生じた場合の見直し
運用を続けるなかで、事業者の判断と自社の期待が異なる場面が出てくることがあります。これは取り決めの内容が実態と合わなくなったことを示す場合が多く、責任を一方に求めるより見直しの機会と捉えるほうが建設的です。
定期的に打ち合わせの場を設け、対応の内容や判断の基準を確認し合いましょう。実際に起きた事象を題材に振り返ると、認識の差が見えやすくなります。見直した内容は記録に残し、双方の担当者が交代しても引き継がれる状態にしておくことが求められます。
監視を任せる選択肢があるIDS・IPS
通知の確認を社内だけで続けることが難しい場合、監視の委託は現実的な選択肢です。任せられる範囲を確認しやすい製品を紹介します。
ビジネスセキュリティ（VSR）
- 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
- 管理者負担軽減！導入から運用、保守まですべて一括対応。
- 24時間365日の障害検知・切り分けから復旧対応までサポート！
株式会社 USEN ICT Solutionsが提供する「ビジネスセキュリティ（VSR）」は、機器のレンタルと運用の請負を組み合わせたマネージド型のサービスです。24時間の監視に加え、専門のサポートスタッフによる24時間365日体制の保守サポートが用意されているため、夜間や休日の対応を社内だけで抱えずに済みます。ログとアラートを管理する機能や、通信の状況をまとめるトラフィックレポートにより、対応の状況を後から確認できます。問い合わせは電話とメールで受け付けています。
Total Security Function Service （株式会社東計電算 / Toukei (Thailand) Co., Ltd.）
- 企画から運用まで一貫したワンストップ支援
- 振る舞い検知で未知の脅威にも対応
- 自社データセンターを活用したクラウド提供
EdgeIPS （トレンドマイクロ株式会社）
- ZDI脆弱性DBと仮想パッチでリスク低減。
- 監視・防御モードを切り替え、運用に合わせた保護を提供。
- デュアル冗長ユニットによる自動フェイルオーバー。
まとめ
IDS・IPSの運用でつまずく場面は、通知の確認が追いつかない、判断の基準が定まらない、拠点ごとに設定がそろわない、委託先との分担があいまいという形で表れます。いずれも製品の機能だけでは解決せず、判断の基準、記録の残し方、複数人で状況を把握できる仕組みを整えることが大切です。運用支援の範囲を資料請求で確かめ、比較検討してみてください。
