IPS・IDSで検知・防御できる攻撃の種類は？

IPS・IDSの対応範囲

IPSとはIntrusion Prevention Systemの略で、ネットワーク通信をリアルタイムに監視し、不正アクセスを検知・防御するシステムです。不正侵入防御システムとも呼ばれています。一方IDSとはIntrusion Detection Systemの略で、不正侵入検知システムのことです。不正アクセスを検知すると、管理者へアラート通知をおこないます。

この2つの違いは、遮断までおこなうかどうかです。不正アクセスの検知のみであるIDSに対し、IPSは検知後にリアルタイムで遮断までおこない、内部ネットワークへの侵入を防御します。通知を受けた管理者が対処するよりも迅速に対応できる点がメリットです。

保護対象はOS／ソフトウェア

IPS・IDSは主に、内部ネットワークやDMZ（DeMilitarized Zone）と呼ばれる、外部・内部ネットワークから隔離されたネットワーク上に設置され、社内システムやOSなどを外部の攻撃から守っています。

ファイアウォールとの違い

ファイアウォールは主にネットワークの入口に設置され、外部ネットワークからのパケット情報（送信元IPアドレスやポート番号など）を読み取り、通信の可否を判断します。しかし、パケット情報が正常であると判断されれば、どのような通信も許可してしまうため、不正アクセスされてしまうリスクがあります。

このようにファイアウォールが通してしまった不正アクセスも、その先にIPS・IDSが設置されていれば検知、遮断することが可能です。

IPS・IDSで対応できる攻撃

では、IPS・IDSは具体的にどのような攻撃に対応できるのか、代表的な2つの攻撃について解説していきます。

DDos攻撃/Dos攻撃

DDos攻撃とは、複数のコンピュータから一斉に大量のリクエストを送信し、サーバに負荷をかける攻撃のことです。Webサービスやサイトを接続不可の状態にしてしまいます。DDos攻撃が複数のコンピュータによる攻撃である一方、Dos攻撃は単一のコンピュータによる攻撃のことを指します。

SYNフラッド攻撃

SYNフラッド攻撃とはDoS攻撃の一種で、サーバダウンやサービスの停止などを引き起こす攻撃のことです。通常、サイトのアクセスはPCとWebサーバ間でのSYNパケットやACKパケットのやり取りで成立しています。SYNフラッド攻撃は、SYNパケットを大量に一斉送信しますが、サーバ側からのACKパケットの返信を無視します。サーバとしては返信を待っている間もメモリを使うため、他からの接続要求に答えられず、サービス停止やサーバダウンを引き起こしてしまうのです。

ワーム

ワームとは、単体で存在し、自身で増殖できるマルウェアの一種です。ウイルスと違って感染対象をもたず、ネットワークに侵入すると次々と増殖しPCリソースを占拠して処理能力を低下させます。また、PC内のファイルを削除したり、メールやSNSを介して別のPCに侵入するなど、様々な症状があらわれます。

攻撃の防御までできるIPSは、Dos攻撃やワームなどのパケットがもつ特徴を検知できるため、これらの攻撃を遮断することができるのです。

対応できない攻撃

IPS・IDSを導入したからといって、万全というわけではありません。ここでは、IPS・IDSが対処できない攻撃について解説していきます。

Webアプリケーションへの攻撃

Webアプリケーションとは、Webサーバ上で動作するアプリケーションのことです。近年利用するユーザーが増加しており、脆弱性を狙った攻撃も比例して増加しています。

先述のとおり、IPS・IDSはOSやソフトウェアを保護対象としており、そもそもWebアプリケーション層は対象外となります。そのため、Webアプリケーションを狙った攻撃に対しては、検知することができないのです。

SQLインジェクション

SQLインジェクションとは、Webサーバに接続したデータベースと連携するWebアプリケーションの脆弱性を突く攻撃のことです。SQLとは、データベースから情報を要求する際に使われる言語のことですが、SQLインジェクション攻撃は、サーバへ悪意あるSQL文を送信することで、データベース内の情報を改ざんしたり削除するなどの不正操作を行います。

クロスサイトスクリプティング

クロスサイトスクリプティングとは、入力フォームや掲示板など、ユーザーからの書き込みをWeb上に表示するアプリケーションの脆弱性を突いた攻撃のことです。Webサイトに悪意あるスクリプトを埋め込み、個人情報やCookie情報を取得し悪用します。

これらの攻撃は、IPS・IDSが不向きと言われている難読化（文字コードを圧縮・変換して読みづらくする手法）を用いているため、防御できない攻撃とされているのです。

詳しく仕組みも知っておこう

IPS・IDSには、設置する場所や形式に応じてネットワーク型やホスト型に分かれたり、検知方法によってシグネチャ型やアノマリ型などに分類することができます。それぞれに応じて対応できることや特徴が異なりますので、IPS・IDSの導入を検討している企業は、ぜひ仕組みを理解しておくとよいでしょう。

IPS・IDSの仕組みについては、こちらの記事で詳しく解説しています。ぜひご覧ください。
★IPS/IDSの仕組みを知ろう！

まとめ

いかがでしたか。IPS・IDSで対応できる攻撃や、対処できない攻撃の種類について解説してきました。セキュリティ対策は「これさえあれば万全」というものはありません。仕組みやリスクを理解し、時には組み合わせて利用するなどして、自社に必要な対策を実施していきましょう。