IDS・IPSで起きる事象を切り分ける前提
「動きがおかしい」と感じた段階で問い合わせても、状況が伝わらなければ調査は進みません。まず仕様どおりの動作かを判断し、伝えるべき情報を整理するところから始めましょう。
仕様と不具合の境目の確認
IDS・IPSは、あらかじめ定められた条件にもとづいて通信を判定します。条件に合致した通信を検知するのは仕様どおりの動作であり、業務上必要な通信であっても条件に当てはまれば対象になります。
マニュアルや設定画面で、該当する判定の条件を確認しましょう。条件に合致しているのであれば、設定の調整で対応する方向に切り替えます。条件に合致していないのに検知される場合や、条件に合致しているのに検知されない場合は、不具合として報告する対象になります。
報告時に記録しておきたい情報
事象を報告する際は、発生した日時、対象となった通信の情報、表示された内容、その時点の設定を記録しておきます。情報が具体的であるほど、ベンダー側で状況を確認しやすくなります。
あわせて、特定の通信だけで起きるのか複数で起きるのか、特定の拠点や時間帯に限られるのかも確認しておきましょう。範囲が分かると、設定、通信環境、機器の状態のどこに要因があるかを絞り込めます。画面の写真や記録の出力を残しておくと、状況を共有しやすくなります。
検知の判定が実態と合わない場合
業務で使う通信が検知の対象になる場面は、運用の中でよく相談される事象です。判定の仕組みを理解しておくと、確認の順序が定まります。
判定方式による違い
IDS・IPSの判定には、既知の攻撃の特徴と照らし合わせる方式と、通常とは異なる通信の傾向を見つける方式があります。前者はシグネチャ型、後者はアノマリ型と呼ばれます。
シグネチャ型では、登録された特徴に合致する通信が対象になります。業務システムの通信がたまたま似た特徴を持つ場合、対象になる可能性があります。アノマリ型では、平常時の傾向をもとに判定するため、業務の内容が変わった直後に想定と異なる判定が生じる場合があります。自社の製品がどちらの方式を採用しているかを確認しておきましょう。
実態と合わない判定が生じる要因
要因はいくつか考えられます。初期の設定が検知を優先する内容になっている、社内で使う仕組みの通信が想定されていない、通信の経路が変わった、機器やソフトウェアを更新した直後であるといった点です。要因は一つに限らず、複数が重なっている場合もあります。
まず、検知された内容を種類ごとに集計し、件数の多いものから確認しましょう。業務上必要と判断できる通信であれば、対象から外す設定を検討します。判断が難しい場合は、通信の内容と業務の関係を整理したうえでベンダーへ相談する進め方が確実です。
確認と調整の手順
調整では、対象から外す範囲をできるだけ限定することが大切です。広く外すと必要な監視まで働かなくなる可能性があるため、通信元や通信先、対象となる通信条件などを絞って設定しましょう。
変更した内容と理由は記録に残し、定期的に見直す時期を決めておきます。業務システムの入れ替えや利用状況の変化によって、設定が実態と合わなくなる場合があるためです。記録があると、担当者が交代しても経緯をたどれます。変更の前に検証環境で確認できるかも、ベンダーへ相談してみましょう。
自動遮断で業務の通信が止まった場合
防御の機能を有効にしていると、判定に合致した通信が自動で遮断されます。業務で必要な通信が対象になった場合、速やかに確認して復旧する手順が必要です。
遮断が起きた際の確認
業務システムがつながらないという連絡を受けた場合、まずIDS・IPSの記録を確認し、該当する時間帯に遮断の記録があるかを見ます。記録がなければ、他の要因を検討する必要があります。
通信が止まる要因は、IDS・IPSの動作だけとは限りません。ネットワーク機器の状態、接続先のサービスの状況、端末側の設定なども考えられます。切り分けを進めるため、いつから、どの範囲で、どの通信が影響を受けているかを整理しましょう。関係部署からの情報を集めると判断が進みます。
解除の手順と再発への備え
遮断が確認できた場合は、対象が業務上必要な正常通信かを確認したうえで、必要に応じて対象を限定した除外設定などを行い、復旧します。この操作を管理画面から自分で行えるか、ベンダーへの依頼が必要かは製品によって異なるため、事前に確認しておきましょう。
復旧後は、なぜ対象になったのかを確認し、同じ状況が起きないよう設定を見直します。あわせて、遮断が発生した際に管理者へ通知される仕組みがあるかも確かめておきましょう。通知が届けば、利用者からの連絡を待たずに対応を始められます。通知先は複数人に設定しておくことをおすすめします。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でIDS・IPSの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
ログの反映が遅れる場合
記録がすぐに画面へ表示されない、集計の数値が更新されないという相談もあります。反映の仕組みを理解しておくと、不具合か仕様かを判断しやすくなります。
集計と反映の仕組み
記録は、発生と同時に画面へ表示されるのではなく、一定の間隔で集計して表示する仕組みが採られている場合があります。この場合、直前に発生した内容が画面に反映されるまでに時間差が生じます。
集計の間隔や反映までの目安時間は、マニュアルに記載されているか、ベンダーへ確認できます。時間差が仕様の範囲内であれば不具合ではないため、確認を行う時期を集計のタイミングにあわせて決めておくと、判断の混乱を避けられます。緊急時に最新の状況を確認したい場合の手段が別に用意されているかも、あわせて聞いておくと安心です。
反映されない場合の確認
目安の時間を過ぎても反映されない場合は、記録の保存先の容量、転送の設定、通信の状態を順に確認しましょう。外部の仕組みへ記録を送っている構成では、送信側と受信側のどちらに要因があるかを切り分ける必要があります。
保存できる容量に上限が設けられている場合、古い記録から順に削除される仕組みになっていることがあります。想定より短い期間しか残っていない場合は、保存期間の設定と容量を確認しましょう。長期の保管が必要であれば、定期的に出力して別に保管する運用も検討できます。
集計や出力に関する事象と社内体制
報告のために集計を確認したり記録を出力したりする場面で、想定と異なる結果になることがあります。あわせて、事象が起きた際の体制についても整理しておきましょう。
数値が想定と異なる場合
表示された数値が想定と違う場合は、集計の対象範囲と期間の区切り方を確認しましょう。対象とする拠点、判定の種類、時刻の扱いによって数値は変わります。
異なる条件で集計された数値を並べて比較すると、実態と離れた解釈につながる可能性があります。定義を確認したうえで、社内で共有する際は前提もあわせて伝えましょう。数値に大きな変化があった場合は、システム側だけでなく、業務の内容や利用状況の変化も要因として考えられます。
出力できない場合の確認
記録を出力しようとして完了しない場合は、対象とする期間の範囲、件数の上限、実行する権限を確認しましょう。件数が多いと処理に時間がかかり、途中で終了する場合があります。
期間を分けて出力する、条件を絞って件数を減らすといった方法で対応できることがあります。出力できる形式と項目の範囲も、あらかじめ確認しておきましょう。報告に必要な項目が含まれていない場合は、他の画面から補う方法をベンダーへ相談してみてください。定期的に同じ形式で出力する必要がある場合は、手順を文書にまとめておくと担当者が交代しても続けられます。
事象が起きたときの社内体制
通信が止まる事象は、業務への影響が大きく、迅速な対応が求められます。誰が一次的に確認し、どの段階でベンダーへ連絡するかをあらかじめ決めておきましょう。
問い合わせの窓口、受付時間、緊急時の連絡手段を関係者が確認できる場所にまとめておきます。過去に起きた事象と対応の内容を記録に残しておくと、同じような状況で確認の手間を減らせます。担当が交代する際の引き継ぎ資料としても役立ちます。
検知内容を確認しやすいIDS・IPS
判定の内容をどう確認し、どこまで自動で処理するかは製品ごとに考え方が異なります。確認の手段を持つ製品を紹介します。
ビジネスセキュリティ（VSR）
- 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
- 管理者負担軽減！導入から運用、保守まですべて一括対応。
- 24時間365日の障害検知・切り分けから復旧対応までサポート！
株式会社 USEN ICT Solutionsが提供する「ビジネスセキュリティ（VSR）」は、機器のレンタルと運用の請負を組み合わせたマネージド型のサービスです。ログとアラートを管理する機能を備え、通信の状況をまとめたトラフィックレポートを確認できるため、検知の傾向を把握したうえで設定の調整を検討できます。オプションとしてファイアウォールやアンチウイルス、Webフィルタリングなどを選んで追加でき、必要な範囲にあわせた構成を組めます。
McAfeeNetworkSecurityPlatform （Musarubra Japan株式会社）
- 統合検知で高精度、低誤検知を実現。
- 専用ハード設計で10Gbps～100Gbps級通信に対応。
- 複数センサーを集中管理し、VIPSで運用可能。
EdgeIPS （トレンドマイクロ株式会社）
- ZDI脆弱性DBと仮想パッチでリスク低減。
- 監視・防御モードを切り替え、運用に合わせた保護を提供。
- デュアル冗長ユニットによる自動フェイルオーバー。
まとめ
IDS・IPSで起こる事象は、判定の条件、設定の内容、通信環境、集計の仕組みのいずれかに要因がある場合が考えられます。仕様と不具合を切り分け、記録を残しながら確認する順序を決めておくと、対応にかかる時間を短縮できます。復旧の手段や通知の仕組みは製品によって差があるため、確認手段とサポート範囲を資料請求で確かめ、比較検討してみてください。
