IPSとは？
仕組みやIDSとの違い、メリットを解説
IPSとは？仕組みやIDSとの違い、メリットを解説
サイバー攻撃の高度化により、不審な通信を検知するだけでなく、自動的に遮断する侵入防止の仕組みが不可欠になっています。IPS（Intrusion Prevention System：侵入防止システム）を活用すれば、ネットワーク上の脅威に対して能動的な防御が可能です。
本記事では、IPSの定義と仕組み、IDSとの違い、メリットなどを解説します。
IPSとは、ネットワークトラフィックを監視して能動的に防御するシステム
IPSとは、ネットワークトラフィックを監視し、脅威を検知した際に警告、通信の切断、悪意あるコンテンツの除去など、能動的な防御を行うシステムです。IDS（Intrusion Detection System：侵入検知システム）から発展した技術で、検知に加えて自動ブロック機能を備えるため、IDPS（Intrusion Detection and Prevention System：侵入検知・防止システム）と呼ばれることもあります。
IPSは、悪意あるトラフィックを検知すると、セッション終了、IPアドレスの遮断といった方法でブロックします。通信全体を許可しつつ、悪意あるパケットのみを破棄する対応も可能です。ファイアウォールルールの更新やルータ設定の変更など、ほかのセキュリティ機器との連携も行えるため、IT・セキュリティ担当者の負荷軽減とコンプライアンス対応の支援につながります。
IPSが脅威を検知する方式
IPSが脅威を検知する主な方式としては、シグネチャベース型（シグネチャ型）、アノマリベース型（異常検出型）・ポリシーベース型の3つが挙げられます。自社のセキュリティ対策の運用方針などに応じて組み合わせて利用されるのが一般的です。それぞれの方式の詳細は下記のとおりです。
■IPSの脅威検知方式の種類
シグネチャベース型
シグネチャベース型とは、不正な通信の特徴（パターン）を登録したシグネチャファイルと、監視対象の通信を照合する方式です。シグネチャファイルをベンダーから提供される最新のバージョンに日々更新することで、新たな脅威に対処できます。
既知の攻撃を確実に遮断でき、誤検知（フォルスポジティブ）が発生する可能性が低いというメリットがある一方で、シグネチャファイルに登録がないパターンの不正な通信を検知・遮断することはできないため、未知の脅威に対する防御力はアノマリベース型と比べて低いといえます。
アノマリベース型
アノマリベース型とは、プロトコルやトラフィック量などの正常な値を登録しておき、その値と異なる通信を検知する方式です。普段トラフィックが少ない時間帯に膨大な通信量が発生した際に異常として検知するなど、シグネチャ方式とは異なり、未知の脅威に対する防御力は高いといえます。一方で、正常な値の登録が不正確だと、誤検知が発生する可能性が高くなります。
通常の業務で利用する通信や新たに導入したシステムの通信を異常と検知してしまうことで、業務に支障をきたす可能性があるため、本番環境に導入する際にはテスト環境などでの入念な調整が必要です。
ポリシーベース型
ポリシーベース型は、組織が定めたセキュリティポリシーに違反する通信を検知する方式です。許可されていないプロトコルの使用や、社内ルールで禁止された通信先への接続などがあった場合に通信を遮断します。
組織の方針に合わせて柔軟にカスタマイズできる方式で、自社のコンプライアンス要件の遵守を技術的に強制するのに役立ちます。
IPSの種類
IPSには、下記のように保護範囲や配置場所に応じたさまざまな種類があります。自社のネットワーク構成や保護したい資産に合わせて選定し、状況に応じて併用するのも有効です。
ネットワーク型IPS（NIPS）
ネットワーク型IPS（NIPS）とは、監視対象のネットワーク経路上に設置して通過するパケットを監視し、不正な通信を検知・遮断するIPSです。挿入したネットワーク型IPSを通過するすべてのパケットが監視対象となるため、ネットワーク型IPSの後に接続されている複数のホストに対する通信を制御できます。
なお、ネットワーク型IPSはネットワークを通過する大量のパケットを処理するため、通信量を考慮した適切な性能のソリューションを選定しなければなりません。ネットワーク型IPSが大量のパケットを処理しきれずに性能不足になると、検査の順番待ちが発生し、スループットが低下します。そのため、現状の通信量だけではなく、ピーク時や将来的なトラフィック量の増加も考慮した性能のソリューションの検討が必要です。
ホスト型IPS（HIPS）
ホスト型IPS（HIPS）とは、監視したいデバイス（ホスト）にインストールすることで、デバイスに届くパケットを監視し、不正な通信を検知・遮断するIPSです。ホスト型IPSをインストールしたデバイスのみが監視対象となるため、導入が必要なデバイスの数だけインストールする必要があります。なお、ホスト型IPSはエンドポイントにおけるセキュリティソフトの1つの機能として搭載されている場合もあります。
ネットワーク動作分析（NBA）型IPS
ネットワーク動作分析（NBA）型IPSは、パケット単位だけでなく通信セッションのフロー全体を分析するIPSです。送信元・送信先のIP、ポート、パケット数などの傾向から、DDoS攻撃やマルウェアによる通信など、異常な通信の流れを検知します。その性質上、アノマリベース型の検知方式と親和性が高いといえます。
ワイヤレス型IPS（WIPS）
ワイヤレス型IPS（WIPS）は、社内Wi-Fiへの無許可接続や不正デバイスなど、無線LAN上の不審な通信を監視します。不正なアクセスポイントや通信内容を盗聴・改ざんする中間者攻撃の挙動を検知し、接続の遮断などの対処を行います。リモートワークが普及し、無線利用の拡大が進む中、ワイヤレス型IPSの重要性は増しているといえるでしょう。
クラウド型IPS
クラウド型IPSは、クラウドサービスとして提供されるIPSです。物理機器の導入が不要で、クラウド環境の利用規模に合わせて、監視体制を柔軟に拡張・縮小できる点が特徴です。複数のクラウドサービスやオンプレミス環境を併用する場合は、クラウド環境向けのセキュリティ機能と従来型のNIPSを組み合わせる構成も検討されます。
IPSとIDSの違い
IDSとIPSは、いずれもネットワーク上の脅威を可視化する点では共通しますが、検知後の対応方法に違いがあります。IDSは「Intrusion “Detection” System」という名称のとおり、検知機能に特化しており、検知後は基本的には管理者に通知を行うのみで、通信の遮断は行いません。一方で、IPSは「Intrusion “Prevention” System」という名称のとおり、検知後に通信を遮断することで侵入の防止まで行います。
■IPSとIDSの主な違い
IDSには、IPSと同様にネットワーク型IDS（NIDS）やホスト型IDS（HIDS）といった種類があります。ホスト型IDSはホスト型IPSと同様にデバイスにインストールするIDSです。一方でネットワーク型IDSはネットワーク上に導入しますが、通信を直接通過させて監視するネットワーク型IPSとは異なり、ネットワーク上の通信データを複製して分析します。
また、IDSとIPSは、不正な通信を検知する方法としてシグネチャ方式やアノマリ方式といった方法がある点も同様です。
参考：
IDSとは？仕組みやIPSとの違いを解説
IPSのメリット
IPSを導入すると、さまざまなメリットがあります。代表的なメリットは、下記のとおりです。
サイバー攻撃の被害の抑制
IPSのメリットは攻撃の早期遮断により、情報漏洩や業務停止のリスクを低減できる点です。ランサムウェアなど、被害を受けた端末から組織の内部へ拡散するような攻撃の被害の抑制効果も期待できます。検知のみの対応と比べ、被害が組織全体に及ぶ前に通信を断てる点は大きな利点といえます。
参考：
ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説
IT・セキュリティ担当者の負担軽減
自動ブロックにより、夜間・休日のインシデントにも人手を介さず初動対応ができる点も、IPSのメリットといえます。IDSのみの運用と比べ、アラート対応に追われるIT・セキュリティ担当者の負荷を軽減できます。限られた人員で広範なネットワークを守る必要がある組織にとっては、運用効率の向上につながります。
コンプライアンスの強化
IPSは組織のコンプライアンスの強化にも役立ちます。セキュリティポリシーに反する通信をブロックできるため、ルールの遵守を技術的に強制することも可能です。また、IPSのログを、セキュリティ上の脅威を分析してレポートも作成できるシステムであるSIEMに連携すれば、監査対応やインシデント調査の効率も向上します。
参考：
SIEMとは？メリットやXDRとの違いをわかりやすく解説
IPS導入時の注意点
IPSを導入する場合、いくつかの注意点があります。
例えば、アノマリベース型のIPSを導入する場合は、正常なものとして登録する値を誤ると、通常業務の通信をブロックする可能性もあるため、繊細な調整が必要です。また、シグネチャベース型のIPSを導入する場合、シグネチャファイルの更新の遅れはそのまま未知の攻撃への脆弱性となるため、更新状況を継続的にチェックしなければなりません。
加えて、どのようなIPSを導入するにしても、アラートが来た場合の対応や報告の手順を整備しなければ、導入効果が十分に発揮されない点にも注意が必要です。誤検知だった場合も含めた対応フローと担当者の役割分担を明確にしておくことが重要です。
IPSとファイアウォールの併用
IPSを導入する場合、ファイアウォールとの併用が推奨されます。ファイアウォールが社外ネットワークとの境界で一次的な通信のフィルタリングを行い、その後にファイアウォールを通過した通信をIPSが検証して侵入を防止する、多層構造のセキュリティ体制を構築するのです。
どの層をどの製品で守るかを整理し、自社のIT構成に応じた併用設計が重要です。単一の防御層に依存せず、多層防御として役割分担することで、セキュリティの耐性を高められます。
参考：
ファイアウォールとは
TrendAI Vision One™ ではAIによる次世代IPSを活用できる
IPSは通信内容を監視して脅威を検知・自動遮断するセキュリティ対策ツールであり、IDSの通知中心の運用から一歩進んだ対策といえます。シグネチャベース型・アノマリベース型・ポリシーベース型といった検知方式と、NIPS・HIPS・クラウド型IPSなど用途に応じた種類を組み合わせて設計することで、サイバー攻撃への耐性を高められるようになるでしょう。
セキュリティの強化には、AIを活用した「TrendAI Vision One™」と次世代IPS「TrendAI™ TippingPoint™ Threat protection system」の活用が有効です。未知の攻撃や、脆弱性を突くゼロデイ攻撃のような脅威も、両者による連携で、多層的な防御を構築できます。IPSの導入・見直しを検討している場合は、ぜひTrendAI Vision One™ の導入をご検討ください。
よくあるご質問（FAQ）
IPSとIDSの違いは？
IPSとIDSは、脅威を検知した際の挙動が異なります。IDSは不審な通信を検知して通知しますが、遮断までは行わないのが一般的です。一方、IPSは検知に加え、通信遮断を含む能動的な防御を自動的に実行します。多くのIPS製品は、自動防御機能のオン・オフの選択が可能で、IDSのような運用に切り替えることも可能です。
ネットワーク型IPS（NIPS）とホスト型IPS（HIPS）の違いは？
ネットワーク型IPS（NIPS）とホスト型IPS（HIPS）で異なるのは、監視・保護の対象です。ネットワーク型IPSは、監視対象のネットワーク経路上に設置して通過するパケットを監視し、不正な通信を検知・遮断します。ホスト型IPSは、サーバやPCなど特定の端末に導入し、そのデバイスに関わる通信を重点的に保護します。NIPSで広域をカバーし、重要資産にHIPSを追加すれば、侵入された端末による内部での被害の拡大防止にも有効です。
IPSはファイアウォールと併用すべき？
ファイアウォールが社外ネットワークとの境界で一次的な通信のフィルタリングを行い、その後にファイアウォールを通過した通信をIPSが検証して侵入を防止する、多層構造のセキュリティ体制の構築が推奨されます。どの層をどの製品で守るかを整理し、自社のIT構成に応じて併用することを検討しましょう。いずれか一方だけでは、突破された通信への対応が不十分になる可能性があるため、役割分担を明確にしてセキュリティ体制を設計してください。
IPSについての関連情報
サイバーセキュリティの原点回帰：基礎から分かるゼロトラスト
サイバーセキュリティの重要な考え方の1つである「ゼロトラスト」について、改めて解説します。
ゼロトラストのガイドライン「NIST SP800-207」を紐解く
ゼロトラストの基礎知識や実装方法などが纏められているガイドライン「NIST SP800-207」を解説します。