IDSを理解する

IDSはIntrusion Detection Systemの略で、ネットワークやホストの通信・挙動を監視し、不審な活動を検知して管理者へ通知する。

この単元で学ぶこと

  • IDSの意味と役割を説明できる
  • NIDSの意味と役割を説明できる
  • HIDSの意味と役割を説明できる
  • NIDS/HIDS、シグネチャ検知、誤検知の意味を運用例から説明できる

本文解説

IDSは観測対象によってNIDSとHIDSに分けられる。シグネチャ型は既知パターンに強く、異常検知型は通常状態からの逸脱を見る。検知結果には誤検知・見逃しがあるため運用調整が必要。

IDS 侵入や不審な通信・挙動を検知し通知する仕組み。 一般に検知が中心で、遮断は別装置や運用で行う構成がある。

NIDS ネットワーク上の通信を監視するIDS。 ミラーポートやTAP等から通信を取得する構成がある。

HIDS サーバや端末などホスト上のログ・ファイル・挙動を監視するIDS。 ネットワーク暗号化後のホスト内部イベントも観測できる場合がある。

シグネチャ検知 既知攻撃の特徴パターンと照合して検知する方式。 既知攻撃に強いが未知攻撃は見逃す可能性がある。

誤検知 正常な通信や挙動を攻撃と誤って判定すること。 多すぎると運用負荷が増え重要アラートを見落としやすい。

「どこを監視するか」と「検知後に遮断するか」を分け、IDSとIPSを混同しない。

NIDSはネットワーク通信を広く観測し、HIDSは特定ホスト内部のログや変更を詳しく観測する。

図解

IDSの監視範囲
NIDSはネットワーク、HIDSはホスト内部を監視し、検知結果をSOCへ通知する。

重要ポイント

  • IDS: 侵入や不審な通信・挙動を検知し通知する仕組み。
  • NIDS: ネットワーク上の通信を監視するIDS。
  • HIDS: サーバや端末などホスト上のログ・ファイル・挙動を監視するIDS。
  • シグネチャ検知: 既知攻撃の特徴パターンと照合して検知する方式。
  • IDSは検知・通知が中心で、アラートを出した後の調査・対応プロセスまで含めて運用する。

間違えやすい点

  • IDSが必ず通信を自動遮断すると考えない。
  • シグネチャ型が未知攻撃も必ず検知すると考えない。
  • 誤検知を全て無視してルールを放置しない。

用語解説

IDS
侵入や不審な通信・挙動を検知し通知する仕組み。
NIDS
ネットワーク上の通信を監視するIDS。
HIDS
サーバや端末などホスト上のログ・ファイル・挙動を監視するIDS。
シグネチャ検知
既知攻撃の特徴パターンと照合して検知する方式。
誤検知
正常な通信や挙動を攻撃と誤って判定すること。

関連教材

参考資料

教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。

確認問題の出題・採点や学習履歴の保存にはログインが必要です。