IDS・IPSの導入が期待どおりに進まない理由
IDS・IPSは、ネットワークを流れる通信を監視し、不正な侵入と考えられる通信を検知したり遮断したりする仕組みです。導入の効果を判断するには、何を期待しているのかを先に明確にしておく必要があります。
導入目的が定まっていない場合
「対策として必要だから」という理由だけで導入を進めると、何をもって成功とするかの基準が定まりません。基準がないと、導入後に効果を判断できず、次の改善にもつなげにくくなります。
まず、何を守りたいのか、どの経路の通信を監視したいのかを具体化しましょう。取引先や親会社から求められている条件がある場合は、その内容も基準に含めます。目的を文書にまとめておくと、製品選定の際の判断軸になり、導入後の評価にも使えます。関係部署と目的を共有しておくと、設定の調整が必要になった場面でも協力を得やすくなります。
期待できる範囲の理解
IDS・IPSが対象とするのは、監視している経路を流れる通信です。暗号化された通信の内容や、監視の対象外となる経路の通信については、扱える範囲が限られる場合があります。
また、検知の条件に合致しない手法については通知されないため、これだけですべての脅威に対応できるものではありません。端末側の対策や利用者への教育と組み合わせる前提で計画を立てましょう。範囲を理解しておくと、導入後に想定と異なるという評価が生じにくくなります。
既存の対策からの移行でつまずく場面
既存の構成にIDS・IPSを加える場合は、役割の違いを踏まえた設計が必要です。ここを整理しないまま導入すると、期待した効果を得にくくなります。
ファイアウォール中心の構成からの移行
ファイアウォールは、あらかじめ定めた条件にもとづいて通信を許可したり遮断したりする仕組みです。一方でIDS・IPSは、ネットワークを流れる通信を監視し、不正な特徴や攻撃の兆候がないかを確認します。役割が異なるため、片方をもう片方に置き換えるものではありません。
移行を検討する際は、どちらでどこまで制御するかを整理しておきましょう。両方の設定が重複すると管理が煩雑になり、どちらの設定が効いているのか分かりにくくなります。既存の設定内容を一覧にまとめ、新しい構成での役割分担を文書にしておくことをおすすめします。
導入位置と通信経路の設計
IDS・IPSをネットワークのどこに置くかによって、監視できる通信の範囲が変わります。社外との出入り口だけに置く構成では、社内の端末間の通信は対象になりません。
自社のネットワーク構成図をもとに、どの経路を監視したいのかを確認しましょう。構成図が整理されていない場合は、その作成から始める必要があります。在宅勤務や拠点間の接続を含む場合は、それらの経路も含めて設計を検討し、ベンダーへ相談しながら進めることが求められます。設置の作業でネットワークを一時的に停止する必要がある場合は、業務への影響が小さい時間帯を関係部署と調整しておきましょう。
検知の内容が想定と合わない場面
導入直後は、業務上必要な通信が検知の対象になる場面が生じることがあります。この状態が続くと確認の負担が大きくなるため、調整の進め方を理解しておきましょう。
想定と異なる検知が生じる要因
要因はいくつか考えられます。初期の設定が検知を優先する内容になっている、自社で使う業務システムの通信が想定されていない、社内で使う独自の仕組みが一般的な通信と異なる特徴を持つといった点です。製品側の判定の仕組みだけが要因とは限りません。
まず、検知された内容を種類ごとに集計し、件数の多いものから確認しましょう。業務上必要と判断できる通信であれば、対象から外す設定を検討します。判断が難しい場合は、通信の内容と業務の関係を整理したうえでベンダーへ相談する進め方が確実です。
調整の進め方
調整では、対象から外す範囲をできるだけ限定することが大切です。広く外してしまうと、必要な監視まで働かなくなる可能性があります。通信元や通信先、対象となる通信条件などを絞って設定しましょう。
変更した内容と理由は記録に残し、定期的に見直す時期を決めておきます。業務システムの入れ替えや利用状況の変化によって、設定が実態と合わなくなる場合があるためです。記録があると、担当者が交代しても経緯をたどれます。
調整にかかる期間の見積もり
調整は一度で終わるものではなく、運用しながら段階的に進めるのが一般的です。導入直後は通知が多く、確認と設定変更に時間を要する期間があると想定しておきましょう。
この期間をあらかじめ計画に含めておくと、担当者の負担を見積もれます。ベンダーへ調整の支援を依頼できるかも確認しておきましょう。支援の範囲が案内までなのか、設定作業まで含むのかによって、自社で確保すべき時間が変わります。導入直後の一定期間は担当者の作業時間を多めに見込んでおくと、他の業務との調整がしやすくなります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でIDS・IPSの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
通信量が多い環境での処理性能
通信量が多い環境では、監視の処理が追いつかず通信の遅延につながる可能性があります。導入前の見積もりが不十分だと、業務に影響が及ぶ場合があります。
性能が不足する要因
考えられるのは、想定した通信量が実際より少なかった、業務が集中する時間帯の変動を考慮していなかった、詳細な検査を行う設定にしたことで処理の負荷が増えたといった点です。複数の要因が重なっている場合もあります。
公開されている性能の数値は、測定の条件が製品ごとに異なるため単純に比較できません。数値の大小だけで判断せず、どのような条件で測定されたものかを確認しましょう。自社の通信の内容に近い条件での目安を尋ねるほうが、判断には役立ちます。
導入前に確認する方法
まず、自社の通信量を実測しておきましょう。既存の機器やネットワークの管理画面から確認できる場合があります。平均だけでなく、業務が集中する時間帯の値も把握しておくことが大切です。
そのうえで、検証環境で試せるかをベンダーへ相談してみましょう。本番環境で試す場合は、業務への影響を抑えるため実施の時間帯や範囲を関係部署と調整する必要があります。将来の増加も見込み、余裕を持たせた構成を検討することをおすすめします。契約後に構成を変更できる条件と、その際に発生する費用も確認しておくと、状況が変わった場合に対応しやすくなります。
対応の進め方が変わらない場面
製品を導入しても、事象が起きた際の対応が特定の担当者に集中したままという状況があります。これは仕組みではなく手順の整備に関わる部分です。
偏りが生じる背景
背景としては、対応の手順が文書になっていない、判断の基準が担当者の経験にもとづいている、記録が個人の手元に残っているといった点が考えられます。導入時に手順の整備を含めていないと、従来の進め方がそのまま残ります。
製品の導入は、手順を見直す機会にもなります。誰が通知を受け、どの基準で判断し、どの段階で相談するかを、導入の準備と並行して整理しましょう。既存の対応内容を洗い出すところから始めると、抜けを減らせます。過去に起きた事象があれば、その際にどう対応したかを振り返ると、必要な手順が見えてきます。
手順の文書化
手順は、担当者以外でも読んで実行できる粒度でまとめることが大切です。通知の種類ごとに、確認する項目と次に行う操作を具体的に書いておきましょう。
文書は関係者が参照できる場所に置き、変更があれば更新する運用にします。実際に対応した内容を記録に残し、手順に反映していくと内容が実態に近づきます。担当が交代する際の引き継ぎ資料としても役立ちます。
導入前に決めておきたい役割
役割は、導入後ではなく準備の段階で決めておくと定着しやすくなります。通知の受け手、判断を行う人、ベンダーへの連絡窓口、記録を管理する人を明確にしておきましょう。
1人に集中させると、休暇や異動の際に確認が止まる可能性があります。人数が限られる場合でも、複数人が状況を把握できる形にしておくことが求められます。役割を決めた内容は文書に残し、定期的に見直す時期もあわせて設定しておきましょう。
導入時の作業範囲を確かめられるIDS・IPS
導入でつまずきやすいのは、設計と初期設定にかかる工数の見込み違いです。作業範囲を事前に確認しやすい製品を紹介します。
ビジネスセキュリティ（VSR）
- 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
- 管理者負担軽減！導入から運用、保守まですべて一括対応。
- 24時間365日の障害検知・切り分けから復旧対応までサポート！
株式会社 USEN ICT Solutionsが提供する「ビジネスセキュリティ（VSR）」は、一括請負の形をとるマネージド型のサービスです。導入前のコンサルティングから初期設定の作業、その後の運用と管理までが含まれます。作業の範囲があらかじめ定められているため、自社で確保すべき工数を見積もりやすくなります。シグネチャによるリアルタイムの侵入検知と、検知した攻撃を自動的に遮断する応答機能を備えます。機器はレンタル方式で、対応範囲は国内全都道府県です。
Snort （シスコシステムズ合同会社）
- リアルタイムな通信分析で侵入を検知。
- ルールに基づき攻撃の可能性を詳細に検査。
- 検知と防御を組み合わせたセキュリティ機能を提供
Suricata （Open Information Security Foundation）
- IDS・IPS・NSMを一体化したセキュリティ基盤
- オープンソースで継続的に開発・改善される仕組み
- ネットワーク通信の詳細な可視化と分析に対応
まとめ
IDS・IPSの導入でつまずく場面は、いくつかの形で表れます。目的が定まっていない、既存構成との役割分担が整理されていない、検知条件の調整に時間を見込んでいない、通信量の見積もりが不足している、対応手順を整備していないといった点です。いずれも導入前の準備で軽減できる部分があります。支援の範囲を資料請求で確かめ、比較検討を進めてみてください。
