IDS・IPSの連携で起きる不具合をどう切り分けるか｜ログ転送の停止やAPI上限、残る手作業

連携の不具合を切り分ける前提

連携は二つ以上の仕組みが関わるため、どちらに要因があるのかを判断しにくい面があります。切り分けの進め方を先に決めておくと、対応にかかる時間を短縮できます。

責任の所在を一方に決めない

連携が動かない場合、送信する側、受け取る側、その間の通信経路のいずれにも要因がある可能性があります。片方の製品だけを疑って問い合わせると、調査が進まないまま時間が過ぎることがあります。

まず、送信側で処理が実行された記録があるか、受信側に届いた記録があるかを確認しましょう。どこまで到達しているかが分かると、確認すべき範囲が絞られます。双方のベンダーへ同時に状況を伝え、どちらで何を確認するかを整理して進める方法も有効です。事前に窓口を把握しておきましょう。

確認の順序と記録の残し方

事象を報告する際は、発生した日時、直前に行った変更、影響を受けている範囲、表示されたエラーの内容を記録しておきます。情報が具体的であるほど、双方のベンダーで状況を確認しやすくなります。

特に、直前の変更内容は要因の特定につながる場合があります。製品の更新、設定の変更、ネットワークの構成変更、証明書の更新といった作業を記録に残す運用にしておきましょう。作業を行った担当者と日時が分かる状態にしておくと、複数人で運用している場合でも経緯をたどれます。

ログの転送が止まる場面

IDS・IPSの記録を集約する仕組みへ送る構成では、転送が止まっても画面上は変化がないため気付きにくい面があります。仕組みを理解し、確認の手段を用意しておきましょう。

転送が止まる要因

要因はいくつか考えられます。受信側の保存容量が上限に達した、通信の経路で遮断されている、認証に使う情報の有効期限が切れた、製品の更新で仕様が変わった、送信の設定が変更されたといった点です。要因は一つに限らず、複数が重なっている場合もあります。

まず、送信側の設定画面で転送の状態を示す表示があるかを確認しましょう。エラーの記録が残っている場合は、その内容から要因を絞り込めます。受信側では、直近で記録が届いた時刻を確認します。どの時点から止まっているかが分かると、その前後に行われた作業と照らし合わせられます。

止まったことに気付くための仕組み

転送が止まった状態に早く気付くには、届いていないこと自体を検知する仕組みが必要です。一定時間記録が届かない場合に通知する設定が可能かを、受信側の仕組みで確認しておきましょう。

設定できない場合は、担当者が定期的に直近の記録を目視で確認する運用を組み合わせます。確認の時期と手順を文書にまとめ、複数人で分担できる形にしておくと、担当者の不在時にも空白が生じにくくなります。確認した結果を記録に残す運用にしておくことも大切です。

復旧と欠落した分の扱い

復旧の際は、止まっていた期間の記録をどう扱うかも確認が必要です。送信側で一時的に保管され、復旧後に送られる仕組みであれば欠落を防げる場合があります。

保管される期間や容量には制限が設けられていることが多く、長期間止まっていた場合は一部が失われる可能性があります。送信側の画面から記録を出力して手作業で取り込む方法が使えるかも確認しておきましょう。監査などで記録の連続性が求められる場合は、欠落した期間と理由を記録に残しておくことが求められます。

通信を制御する仕組みとの連携で起きる事象

検知した内容をもとにファイアウォールへ設定を追加する構成では、設定が意図どおりに反映されない場面や、不要になった設定が残る場面が生じることがあります。

設定が反映されない場合

設定が追加されない場合、連携に使うアカウントの権限、接続に使う情報の有効性、対象となる機器の指定を順に確認しましょう。権限が変更されていると、接続はできても設定の変更だけが行えない状態になることがあります。

受け取る側の機器で、設定できる件数に上限が設けられている場合もあります。上限に達すると新しい設定が追加されないため、既存の設定の件数も確認しておきましょう。反映されなかった場合に管理者へ通知される仕組みがあるかも、あわせて確かめておくことをおすすめします。

不要な設定が残り続ける場合

自動で追加された設定が、期間を過ぎても削除されずに残ることがあります。件数が増えると管理が煩雑になり、業務で必要な通信に影響する可能性も生じます。

設定に有効期間を指定できるか、自動で削除される仕組みがあるかを確認しておきましょう。仕組みがない場合は、定期的に一覧を確認し、不要なものを整理する時期を決めておきます。削除の判断に迷う設定があれば、追加された経緯を記録から確認し、関係者と相談して進めることが求められます。

ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でIDS・IPSの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。

APIの利用条件に関する事象

API連携では、接続の仕様に加えて利用の条件が定められています。条件を把握していないと、処理が途中で止まる状況が生じる場合があります。

呼び出し回数の上限に達した場合

多くの製品では、一定時間あたりに呼び出せる回数に上限が設けられています。上限に達すると、以後の要求が一時的に受け付けられず、記録の取得や設定の反映が滞る可能性があります。

まず、契約している条件での上限値を確認しましょう。そのうえで、自社の処理がどの程度の頻度で呼び出しているかを見直します。取得の間隔を広げる、一度に取得する件数をまとめる、必要な項目だけに絞るといった方法で回数を抑えられる場合があります。上限を引き上げられる条件があるかも相談してみましょう。上限に近づいた際に通知される仕組みがあれば、処理が止まる前に対応できます。

認証に関するエラー

接続に使う情報には有効期限が設けられている場合があり、期限を過ぎると認証が通らなくなります。定期的な更新が必要な構成では、更新の時期を管理しておく必要があります。

更新を忘れると連携が止まるため、期限を管理台帳に記録し、事前に通知が届く仕組みを用意しておきましょう。担当者1人が把握している状態では、不在時に対応できない可能性があります。複数人が期限を確認できる形にし、更新の手順も文書にまとめておくことをおすすめします。

自動化しきれず手作業が残る場面

連携を進めても、すべての作業がなくなるわけではありません。残る作業を把握し、運用として引き受ける設計にしておくことが大切です。

手作業が残る要因

考えられるのは、双方の記録を突き合わせるための共通の情報がそろわない、連携で受け渡せる項目に含まれていない情報がある、判断を伴う作業は自動化の対象にできないといった点です。連携の仕様上、避けられない部分もあります。

例えば、ネットワーク側の記録と端末側の記録を照らし合わせる場合、端末を特定できる情報が両方に含まれていないと手作業での確認が必要になります。導入前に、どの情報が受け渡されるのかを一覧で確認しておくと、残る作業を見積もれます。項目が不足する場合は、双方の設定で追加できるかをベンダーへ確認してみましょう。

残る作業の整理

手作業が残ること自体は問題ではありませんが、誰がいつ行うのかが定まっていないと対応が滞る可能性があります。残る作業を洗い出し、担当と実施の時期を決めておきましょう。

作業の内容は手順として文書にまとめ、担当者以外でも実行できる粒度で書いておきます。実施した記録を残す運用にすると、対応が行われたかを後から確認できます。作業の量が想定より多い場合は、連携の範囲を広げられないかベンダーへ相談する材料にもなります。

運用として引き受ける設計

連携の導入時には、自動化される範囲と手作業で残る範囲を一覧にまとめ、関係者で共有しておきましょう。認識がそろっていないと、対応されていると思い込んだまま抜けが生じる可能性があります。

一覧は運用の変化にあわせて見直す必要があります。製品の更新で連携できる範囲が広がる場合もあるため、定期的にベンダーへ確認する時期を決めておくとよいでしょう。見直した内容は記録に残し、担当者が交代しても引き継がれる状態にしておくことが求められます。

ログの保管と調査に対応したIDS・IPS

連携が止まった際にさかのぼって調べられるかは、記録の持ち方に左右されます。ログの扱いを確認しやすい製品を紹介します。

ビジネスセキュリティ（VSR）

株式会社 USEN ICT Solutions

資料請求リストに追加

製品詳細ページへ ＞

製品・サービスのPOINT

1. 業界最多クラスのセキュリティ機能の中から独自のカスタムが可能
2. 管理者負担軽減！導入から運用、保守まですべて一括対応。
3. 24時間365日の障害検知・切り分けから復旧対応までサポート！

まとめ

IDS・IPSの連携で起きる事象は、送信側、受信側、通信経路、利用条件のいずれかに要因がある場合が考えられます。責任を一方に決めつけず、どこまで到達しているかを確認する順序を定めておくことが対応の近道です。連携が止まったことに気付く仕組みと、残る手作業の整理もあわせて設計しておきましょう。確認手段を資料請求で確かめ、比較検討してみてください。