IPSを理解する
IPSはIntrusion Prevention Systemの略で、不審な通信を検知するだけでなく、インラインで遮断・破棄・接続リセットなどの防御まで行う。
この単元で学ぶこと
- IPSの意味と役割を説明できる
- インライン配置の意味と役割を説明できる
- 遮断動作の意味と役割を説明できる
- IPSのインライン配置・遮断動作・誤検知リスク・チューニングを説明できる
本文解説
IPSは通信経路上に配置されることが多く、検知ルールへ一致した通信をリアルタイムに阻止できる。一方、誤検知で正規通信を遮断すると可用性へ影響するため、検証とチューニングが重要。
IPS 不審通信を検知し、自動遮断などの防止動作まで行う仕組み。 IDSより能動的な防御を行う。
インライン配置 通信経路上に装置を置き、全対象通信を通過させて検査する配置。 遮断するために通信へ直接介在する。
遮断動作 パケット破棄、セッション切断、送信元ブロックなどで攻撃通信を止める動作。 製品やルールに応じて動作を選ぶ。
誤検知 正常通信を攻撃と誤判定すること。 IPSでは誤検知が正規通信の停止へ直結する可能性がある。
チューニング 環境に合わせてルール、しきい値、例外、動作を調整する運用。 検知率と可用性のバランスを取る。
「検知だけ」ならIDS、「通信経路上で自動遮断」ならIPSを基本にする。
IPSは攻撃を止められる反面、誤検知があると正規利用者の通信も止めるため、段階的なルール調整が必要。
図解
重要ポイント
- IPS: 不審通信を検知し、自動遮断などの防止動作まで行う仕組み。
- インライン配置: 通信経路上に装置を置き、全対象通信を通過させて検査する配置。
- 遮断動作: パケット破棄、セッション切断、送信元ブロックなどで攻撃通信を止める動作。
- 誤検知: 正常通信を攻撃と誤判定すること。
- IPSは防御力だけでなく、誤遮断による可用性影響も含めて設計・運用する。
間違えやすい点
- IPSを通信経路外に置いても同じように遮断できると考えない。
- 誤検知をゼロと仮定しない。
- 全ルールを最初から最高感度で遮断設定にしない。
用語解説
- IPS
- 不審通信を検知し、自動遮断などの防止動作まで行う仕組み。
- インライン配置
- 通信経路上に装置を置き、全対象通信を通過させて検査する配置。
- 遮断動作
- パケット破棄、セッション切断、送信元ブロックなどで攻撃通信を止める動作。
- 誤検知
- 正常通信を攻撃と誤判定すること。
- チューニング
- 環境に合わせてルール、しきい値、例外、動作を調整する運用。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。