IPS（Intrusion Prevention System）とは?

IPS（Intrusion Prevention System）とは

IPS（Intrusion Prevention System）は、ネットワークやシステムに対する侵入の試みと悪意のある行為を検知し、あらかじめ設定したポリシーに基づいて関連トラフィックを自動的に遮断する侵入防止システムです。一般に、保護対象と通信主体を結ぶ経路上にインラインで配置し、実際のトラフィックが IPS を直接通過するようにします。これにより、攻撃と判断したパケットを破棄したり、接続を即座に終了したりできます。

検査範囲は、送信元と宛先のアドレス、パケットヘッダー、接続状態にとどまりません。アプリケーションプロトコルの形式や、ペイロードに特定の攻撃パターンが含まれているかどうかを確認し、セッションの流れと通信頻度も分析します。これを基に、公開サーバーの脆弱性を狙ったリクエスト、不正に操作されたプロトコルトラフィック、感染端末による C2 通信、内部スキャンなどを検知します。攻撃と判断した通信には、パケットの破棄、セッションのリセット、送信元の遮断などの措置を適用します。他のセキュリティ製品との連携構成によっては、各機器へポリシーの変更を要求する場合もあります。

IPS が必要な理由

従来のファイアウォールは、アドレス、ポート、プロトコル、接続状態などを基準に通信を許可または拒否します。しかし、攻撃者は組織が業務用に開放しているポートや正規のプロトコルも攻撃経路として利用するため、ファイアウォールだけではこのような攻撃の遮断が困難です。IPS は、ファイアウォールが許可した通信から攻撃パターンや異常な行為を見つけ出し、検知直後に通信を切断することで、攻撃コードの実行、マルウェアの流入、権限の奪取、内部への拡散を抑えます。また、パッチをすぐに適用しにくいシステムでは、仮想パッチの手段として利用できます。特定の脆弱性を狙った攻撃パターンや異常なプロトコル動作をネットワーク上で遮断し、正式なパッチを適用するまで露出を減らします。

IPS のイベントは、セキュリティ分析の重要な手掛かりとなる場合もあります。セキュリティチームは、繰り返し攻撃を受けている脆弱性や攻撃が集中する区間を把握できます。また、SIEM やセキュリティ監視システム上でファイアウォール、認証、エンドポイントのログと関連付けることで、脆弱性への対応優先順位を決めたり、侵害範囲を確認したりするための根拠として活用できます。

IPS はトラフィックをどのように分析し、遮断するのか

IPS はトラフィックを受信すると、セッションを再構成してプロトコルを分析し、脅威の有無を判断します。攻撃と確認された通信はポリシーに基づいて遮断し、判断の根拠と対応内容を記録します。

まずトラフィックの方向と接続状態を把握し、断片化されたパケットや複数の区間に分かれたストリームを再構成して、正常に見えるパケット内に悪意のあるペイロードが含まれていないか確認します。このとき、パケットの順序や重複送信を誤って処理すると、攻撃を見逃したり、正常な通信を攻撃と誤認したりする可能性があるため、セッション再構成の精度が検知品質に直接影響します。

セッションを復元した後は、攻撃者が検知を回避するために変形させたトラフィックを、分析可能な形に整えます。エンコーディング、パケット分割、非標準の転送方式などによって同じデータが異なる形で表現される場合があるため、正規化して分析過程で生じ得る差異を減らします。その後、HTTP、DNS、SMB、データベースプロトコルなど、実際の通信で使用されたプロトコルを解釈し、リクエストとレスポンスの構造および内容を分析して、実際の通信内容から使用されているプロトコルとアプリケーションを特定します。こうして解釈したトラフィックから異常なリクエストや命令、既知の攻撃パターンなどが見つかると、検知ルールや振る舞いモデルと照合して脅威の有無を判断します。

このようにトラフィックを分析した後、検知ルールや振る舞いモデルに合致するトラフィックへ、あらかじめ定義した対応ポリシーを適用します。脆弱性の悪用など明確な攻撃ではパケットを破棄するか接続を終了し、業務トラフィックとの区別が難しいイベントや誤検知の影響が大きいイベントでは、遮断せずアラートのみを生成するよう設定することも可能です。同じ種類の脅威でも、資産の重要度、サービスの特性、通信方向、攻撃が成功する可能性などを考慮し、遮断の可否と対応レベルを変えて適用できます。

遮断が必要と判断した場合は、脅威と通信形態に適した方法を適用します。最も直接的な方法は、攻撃パケットを転送しないことです。TCP 通信ではリセットパケットを送信してセッションを終了できます。また、特定の送信元や宛先との後続通信を一定期間制限したり、ファイアウォールまたはネットワークアクセス制御機器と連携して対応範囲を広げたりすることも可能です。このとき、IP アドレスだけを基に長時間遮断すると、正規ユーザーにも被害が及ぶ可能性があるため、遮断条件と維持時間は運用への影響を考慮して定めます。

IPS による脅威の検知方式

IPS は、シグネチャベース検知、異常検知および振る舞いベース検知、ポリシーベース検知、ステートフルプロトコル分析によって、トラフィックに脅威が存在するかを検知します。方式ごとに検知範囲と誤検知の可能性が異なるため、保護対象と運用環境に合わせて調整します。

シグネチャベース検知

シグネチャベース検知は、既知の攻撃に繰り返し現れる特徴をルール化し、ネットワークトラフィックから一致する痕跡を探す方式です。特定の命令や文字列、攻撃コードのバイト配列、異常なデータ長、プロトコルフィールドの組み合わせ、脆弱性の悪用過程で現れるパケットの順序などを確認し、パターンが一致すると悪意のあるパケットを破棄するか、接続を終了します。既知の脆弱性を狙う攻撃、マルウェアの配布、C2 サーバーへの接続など、特徴が明確な脅威を迅速に識別するうえで効果的です。

異常検知および振る舞いベース検知

異常検知は、固定された攻撃パターンよりも、通常とは異なる通信行為に注目します。IPS は、一定期間観察したネットワーク活動や事前に設定した基準を基に、一般的な接続頻度、使用ポート、データ転送量、通信時間、セッション継続時間、宛先などを把握します。異常が確認されると、現在のトラフィックがこの基準からどの程度外れているかを分析します。この方式は、既知のシグネチャと完全には一致しない攻撃、内部への拡散、自動スキャン、異常な外部通信を見つけるために使用されます。

ユーザー端末が短時間に複数の内部サーバーのさまざまなポートへ接続していれば、内部スキャンやマルウェアの拡散が疑われます。通常は接点のない外部アドレスへ一定間隔で少量のデータを送信する行為は、C2 サーバーとのビーコン通信の兆候かもしれません。また、業務サーバーが深夜に大量のデータを外部へ送信する状況も、情報流出の兆候となる可能性があります。

ポリシーベース検知

ポリシーベース検知は、組織が定めたネットワーク利用原則を基準に、許可されていない通信を識別します。送信元と宛先、ユーザー、デバイス、サービス、利用時間、通信方向などを条件として設定し、そこから外れた活動を検知します。たとえば、データベースサーバーには指定したアプリケーションサーバーからのリクエストだけを許可し、一般ユーザーによるデータベースへの直接接続や管理者用プロトコルの使用を遮断できます。また、主要サーバーが未承認の外部ストレージへファイルを送信する状況や、業務上不要な国のサーバーと通信する状況も検知対象に指定できます。

同じ通信でも、資産の役割と業務目的によって判断は異なります。リモート管理ツールは管理者端末では正規の業務手段ですが、一般ユーザーのデバイスや生産設備で実行されると危険な兆候になり得ます。ポリシーの精度を維持するには、資産情報と通常の業務フローを把握し、システムの変更内容を検知ポリシーへ継続的に反映します。

ステートフルプロトコル分析

ステートフルプロトコル分析は、HTTP、DNS、SMB など、各プロトコルが従うべき構造と処理順序を基準にトラフィックを検査します。IPS はセッションの進行段階を追跡しながら、リクエストとレスポンスの関係、命令の順序、フィールド長、許容値などを分析し、通信が行われる文脈を確認します。

攻撃者は、異常に長い値を送信したり、通常の使用には含まれない命令を実行したり、プロトコルフィールドを操作したりして、脆弱なコードを実行しようとします。IPS は、複数のパケットにまたがるセッションを再構成し、このような異常な状態変化を探します。シグネチャベース検知が特定の攻撃の痕跡を探すのに対し、ステートフルプロトコル分析は通信の構造と処理過程が正常かどうかを判断します。

IPS の種類と配置場所

IPS は、保護対象とトラフィックの種類に応じて、ネットワーク、ホスト、無線環境へ配置します。種類ごとに観察範囲と運用方式が異なるため、実際の通信経路と資産の特性を先に確認します。

ネットワークベース IPS

ネットワークベース IPS の NIPS は、ネットワークを通過するパケットとセッションをリアルタイムで分析します。シグネチャ、プロトコルの状態、通信行為などを検査し、脆弱性攻撃、マルウェア通信、スキャンといった脅威を検知して遮断します。

主な配置場所は、インターネット境界、データセンターの前段、ユーザーネットワークとサーバーネットワークの間、主要な内部区間です。1 か所で複数システムのトラフィックを検査するため、外部から流入する攻撃と内部システム間の異常な通信を併せて確認できます。ただし、NIPS を通過しないトラフィックは確認できません。そのため、クラウドや複数の拠点を接続した環境では、機器の設置場所を決める前に実際のトラフィック経路から確認します。

ホストベース IPS

ホストベース IPS の HIPS は、サーバーや端末にインストールし、そのシステムで発生する活動を監視して遮断します。ネットワーク通信に加え、プロセスの実行、システムコール、ファイル変更、アプリケーションの動作など、ホスト内部の情報を分析します。重要なサーバーや業務端末におけるマルウェアの実行、未承認のファイル変更、権限昇格の試み、許可されていないアプリケーションによる通信の制御に活用します。

ネットワーク機器では暗号化されたトラフィックの内容を確認しにくい状況でも、HIPS はホスト上で復号されたデータと実行情報を基に脅威を分析できます。NIPS が複数システムのネットワークトラフィックを広く捉えるのに対し、HIPS は個々のシステム内部の活動を詳細に確認します。観察領域が異なるため、重要な資産には両方を適用し、ネットワークとホストの各レベルで防御を構成できます。

無線侵入防止システム

無線侵入防止システムの WIPS は、Wi-Fi などの無線ネットワークにおける電波と接続状態を継続的に監視します。未承認のアクセスポイント、許可されていない端末、誤って設定された無線セキュリティ方式、異常な接続の試みを見つけることが主な役割です。WIPS は専用センサーや無線アクセスポイントで周辺の無線信号を収集し、登録済みの機器リストと照合して未知のデバイスを識別します。社内ネットワークを装ったアクセスポイント、未承認の個人用ルーター、繰り返される認証攻撃などが見つかると、管理者へアラートを送ります。

製品とポリシーによっては、不審な無線接続を遮断したり、デバイスの位置を追跡したりすることもできます。無線接続の遮断は周辺の通信へ影響する可能性があるため、組織のセキュリティポリシーと関連規則を確認してから適用します。

IDS、ファイアウォール、WAF、NDR との違い

区分	目的	観察範囲	対応方式
IPS	攻撃と侵入の試みをリアルタイムで遮断	パケット、セッション、プロトコル、攻撃パターン	パケットの破棄、接続の終了、送信元の遮断
IDS	不審な行為の検知とアラート	複製されたトラフィックまたはホストイベント	アラート、記録、分析との連携
ファイアウォール	ネットワークアクセス制御	アドレス、ポート、プロトコル、接続状態	ポリシーに基づく許可・拒否
WAF	Web アプリケーションの保護	HTTP・HTTPS のリクエストとレスポンス、Web の文脈	悪意のある Web リクエストの遮断、セッション制御
NDR	ネットワーク上の異常な行為の検知と調査	トラフィックフロー、メタデータ、行為の関係	アラート、調査、他のセキュリティ制御との連携

従来のファイアウォールは、アドレス、ポート、プロトコル、接続状態などを基準に、通信そのものを許可するかどうかを決めます。IPS は、許可されたトラフィック内の攻撃パターンや異常なプロトコル動作を見つけて遮断します。ファイアウォールがアクセス範囲を制御するのに対し、IPS は通過を許可された通信をもう一度検査します。

IDS と IPS には、不審なトラフィックとシステム活動を検知するという共通点がありますが、対応方式は異なります。IDS は主に複製されたトラフィックやホストイベントを分析してアラートを生成し、実際の通信には直接介入しません。IPS は実際の通信経路上でトラフィックを処理するため、悪意のあるパケットを破棄したり、接続を即座に終了したりできます。

WAF は、Web アプリケーションの保護に特化しています。HTTP および HTTPS のリクエストとレスポンス、URL、パラメーター、ユーザーセッションなどの Web の文脈を分析し、SQL インジェクションやクロスサイトスクリプティングなどの攻撃を遮断します。NIPS も一部の Web 攻撃を検知しますが、Web アプリケーションの機能とビジネスロジックを WAF と同じレベルで分析するものではありません。

NDR は、トラフィックフローとシステム間の通信関係を長期間にわたって分析し、異常な行為と侵害の兆候を見つけることに重点を置きます。IPS が現在通過している攻撃の遮断を担うのに対し、NDR は複数の時点とシステムから収集した情報を関連付け、脅威の文脈と移動経路を把握します。連携環境では、IPS の遮断イベントを NDR で追加分析したり、NDR が検知した脅威情報を IPS のポリシーへ反映したりする場合もあります。

攻撃の流れに応じた遮断シナリオ

攻撃が外部から流入するのか、内部で拡散するのか、感染システムが外部と通信するのかによって、IPS の検知基準と対応方式も異なります。

公開サーバーを狙った脆弱性攻撃

攻撃者は、正規の HTTPS 接続を利用して、Web サーバーの脆弱性を狙うリクエストを送信する可能性があります。ポートと接続情報だけでは、正規の HTTPS 通信と攻撃リクエストの区別が困難です。IPS が復号された HTTPS トラフィックを検査できる環境であれば、リクエストの内容を分析して既知の脆弱性を悪用するパターンを検知し、その通信を遮断できます。また、検知イベントが記録されると、セキュリティチームは攻撃対象システムのパッチ適用状況を点検し、同一または類似の攻撃が試みられていないか追加で確認できます。

感染端末を介した内部への拡散

フィッシングなどによって侵害された端末は、周辺のシステムをスキャンしたり、ファイル共有プロトコルの脆弱性を繰り返し攻撃したりする可能性があります。内部区間に配置した IPS は、短時間に複数のアドレスへ続く接続とエクスプロイトパターンを捉え、セッションを遮断します。内部トラフィックが IPS を通過しない場合や、同じネットワークセグメント内のシステム同士が直接通信する場合、このような活動は見えないことがあります。可視性の空白を減らすには、ネットワークのセグメント化、適切なトラフィック経路の設計、他のセキュリティ制御を併せて適用します。

外部との C2 通信

IPS は、製品と連携した脅威インテリジェンス、プロトコルパターン、反復するビーコン通信などの情報を利用して、C2 サーバーとの接続を検知または遮断できます。このようなイベントが確認された場合は、内部システムが侵害されている可能性を調査します。接続の遮断後、その端末を隔離し、EDR で悪意のあるプロセスと実行の痕跡を調査します。関連アカウントと他のシステムの侵害指標も確認対象です。

3 つの事例で実際の遮断成果を左右する条件は、トラフィックの可視性です。IPS を迂回する経路へトラフィックが流れる場合や、暗号化通信の内容を検査できない場合、検知できる攻撃にも限界が生じます。そのため、構築段階から IPS の配置場所、トラフィック経路、暗号化トラフィックの検査範囲を併せて設計し、実際の運用環境に合わせて検知・遮断ポリシーを適用します。

IPS の限界と運用上の注意点

IPS がすべての脅威を完全に識別できるわけではありません。そのため、安定した IPS の運用には、誤検知と検知漏れ、性能低下、機器の障害、暗号化トラフィックといった限界を理解し、それらを補える運用基準を整備します。

誤検知と検知漏れを考慮した検知ポリシーの運用

IPS は攻撃を検知しながら、正常なトラフィックを不必要に遮断しないようポリシーを調整します。検知条件が広すぎる場合や、実際の業務環境と合っていない場合、正常な通信を攻撃と判断する誤検知が発生する可能性があります。反対に、シグネチャが最新の攻撃を反映していない場合や、暗号化、トラフィック経路などの理由で IPS が通信内容を十分に分析できない場合は、実際の攻撃を見逃すおそれがあります。

これを防ぐには、保護対象の OS、アプリケーション、脆弱性、実際のトラフィック特性に基づき、検知ポリシーを継続的に調整します。新しいシグネチャは業務への影響を確認してから遮断に適用し、誤検知と確認された項目は必要な範囲に限って例外処理します。同時に、シグネチャの更新状況とトラフィックの可視性を継続的に点検し、検知の空白が生じないよう管理します。

実際の業務環境を反映した性能測定

IPS の性能を最大スループットだけで判断してはなりません。実際の性能は、同時セッション数、新規接続の発生速度、パケットサイズ、有効化したシグネチャ数、アプリケーション制御と TLS 復号の有無によって異なります。また、複数のセキュリティ機能を同時に使用する場合、メーカーが提示する最大スループットより実際の性能が低下する可能性があります。

容量を算定する際は、平均トラフィック、業務集中時間帯の最大トラフィック、今後の増加量を併せて反映します。構築後は、スループット、遅延時間、セッション数、パケット損失、CPU・メモリ使用率を観察します。性能の限界に近づくと検査の遅延やトラフィックの欠落が発生する可能性があるため、増設と負荷分散の基準もあらかじめ定めます。

障害発生時のトラフィック処理方式

インライン IPS に障害が発生すると、その区間のすべての通信が影響を受ける可能性があります。そのため、機器の障害、電源の問題、ソフトウェアエラーが発生した際にトラフィックを引き続き許可するのか、それとも遮断するのかを事前に定めます。

トラフィックを通過させれば業務継続性は維持できますが、復旧まで検査の空白が生じます。検査していないトラフィックを遮断すると、セキュリティレベルを維持できる一方で、通常業務が中断する可能性があります。インターネット接続区間と重要サーバー区間のように、資産の機密性と業務への影響が異なる場所には、それぞれ異なる障害処理ポリシーを適用します。機器の冗長化、迂回経路、障害通知、手動切り替え手順も併せて準備します。

暗号化トラフィックと TLS 復号

TLS で暗号化されたトラフィックは、復号しなければリクエストとレスポンスの実際の内容を直接検査しにくく、ペイロードに含まれる脆弱性攻撃や悪意のある命令の検知には限界があります。一方、TLS 復号を適用するとリクエストとレスポンスの内容を検査できますが、機密性の高い個人情報や認証情報が検査機器に露出する可能性があります。そのため、個人情報保護ポリシー、関連法令、規制要件を考慮します。

業務上またはポリシー上、復号の対象外とすべきトラフィックは、明確な基準を設けて管理します。証明書ピンニングや相互 TLS など、中間での復号が制限される通信も考慮します。IPS で内容を検査できない区間は、エンドポイントセキュリティ、アプリケーションやサーバーのログなど、他のセキュリティ手段を併用して可視性を補えます。

IPS では検知が困難なセキュリティ領域

エンドポイントですでに実行された悪意のあるプロセスとファイル変更、クラウド管理アカウントの悪用、正規アカウントを利用した権限の乱用といった脅威は検知できません。また、同じネットワークセグメント内で IPS を通過しない通信も検査できません。

このようなセキュリティの空白は、IPS だけで解決しようとせず、他のセキュリティ制御と併用します。EDR で端末のプロセスとファイルの活動を確認し、強固な認証と最小権限ポリシーによってアカウント悪用のリスクを下げます。クラウド監査ログ、認証ログ、NDR、SIEM の情報を IPS イベントと関連付けると、一つの機器からは見えなかった攻撃の流れを把握する助けとなります。

効果的な IPS の導入・運用基準

IPS を導入する際は、機器の選定に先立ち、保護対象とセキュリティ目標を明確に定義します。保護する資産と業務、主な攻撃の種類を把握し、実際のトラフィック経路、暗号化区間、最大トラフィック規模、サービスの可用性などを併せて検討します。このような情報がそろって初めて、IPS の配置場所、処理容量、高可用性構成、ポリシーの範囲を現実的に設計できます。

検知ポリシーは、保護環境で実際に使用する OS とアプリケーション、保有する脆弱性、資産の重要度を基準に適用します。関連のないシグネチャまで無分別に遮断ポリシーへ含めると、誤検知と運用負担が増える可能性があります。新しいシグネチャは業務への影響を確認してから適用し、例外ポリシーには適用対象、理由、範囲、終了時点を明確に記録します。緊急性の高い脆弱性へ迅速に対応できるよう、資産の重要度と攻撃可能性を反映した別の手順も整備します。

運用段階では、シグネチャとエンジンの更新状態、ポリシーの変更履歴、例外項目を継続的に点検します。IPS のイベントを SIEM、SOAR、EDR などと連携すると、ネットワークで検知した脅威を他のセキュリティ情報と併せて分析し、その後の対応につなげるうえで役立ちます。このとき、自動遮断や端末の隔離など、業務へ直接影響する措置は、検知の信頼度と適用範囲を十分に検討してから運用します。

IPS の効果を、単純な遮断件数だけで評価してはなりません。実際の攻撃を遮断したか、誤検知が業務にどのような影響を与えたか、検知できなかったトラフィックはなかったかを確認します。機器の遅延と可用性も評価基準に含めます。

FAQ

アンラボの IPS ソリューション

AhnLab AIPS は、ネットワークトラフィックをリアルタイムで分析し、組織を標的とするさまざまなネットワーク攻撃を検知・遮断する次世代ネットワーク侵入防止ソリューションです。パケットヘッダーとペイロードを検査し、シグネチャベース検知、振る舞いベース検知、マルウェア検知技術を活用して、ネットワーク、OS、Web、アプリケーションの脆弱性を狙う攻撃、異常なプロトコル、C2 サーバーへの接続など、多様な脅威に対応します。また、SSL Inspection で暗号化トラフィックを分析し、AhnLab TMS と連携して検知イベントとネットワーク脅威を統合的に監視・分析できます。