概要

IDS（Intrusion Detection System：侵入検知システム）・IPS（Intrusion Prevention System：侵入防止システム）・WAF（Web Application Firewall）は、ファイアウォールだけでは防げない高度な攻撃を検知・防止する装置です。SC試験では3者の違い・配置設計・検知方式の種類が頻出です。

IDS（侵入検知システム）

役割

ネットワークトラフィックやホストのログを監視し、不審な活動を検知してアラートを発報します。通信は遮断しません。

配置方式

方式説明
NIDS（ネットワーク型）ネットワークトラフィックをスニファで監視。タップやミラーポートを使用
HIDS（ホスト型）個々のサーバにエージェントをインストールしてログ・プロセスを監視
タップ配置（IDSの典型）：
インターネット → ルータ → [タップ] → ファイアウォール → 内部ネットワーク
                              ↓
                            IDS（コピーされたトラフィックを解析）

タップ配置なので、IDSの処理が遅くても通信速度に影響しません。

IPS（侵入防止システム）

役割と配置

インラインで配置し、不審な通信をリアルタイムに遮断します。

インライン配置（IPSの典型）：
インターネット → ルータ → IPS → ファイアウォール → 内部ネットワーク
                         ↑
               ここで通信を遮断・許可

IPSのメリット・デメリット

項目内容
メリット攻撃をリアルタイムに遮断できる
デメリット誤検知（False Positive）で正常通信を遮断するリスク（サービス影響）
デメリットインラインなので高可用性設計が必要（障害時の迂回路）
IDS と IPS の比較
IDS（検知） IPS（防止）
配置方式
タップ/ミラーポート（アウトオブバンド）
インライン（通信経路上）
動作
検知してアラートを発報
検知して即座に遮断
通信への影響
影響なし（コピーを解析）
誤検知時に正常通信を遮断するリスク
可用性設計
不要
必要（障害時の迂回路）

検知方式の比較

方式仕組み長所短所
シグネチャ検知既知の攻撃パターン（シグネチャ）と照合誤検知が少ない・高速未知の攻撃を検知できない（ゼロデイに無力）
アノマリ検知正常な通信のベースラインを学習し、逸脱を検知未知の攻撃を検知できる誤検知が多い・ベースライン学習が必要
ステートフル検知通信のセッション状態を追跡して異常を判定フラグメント化攻撃を検知状態管理に多くのリソースが必要

WAF（Web Application Firewall）

ファイアウォール・IPSとの違い

装置守る対象動作レイヤ
ファイアウォールネットワーク境界L3〜L4（IP・TCP/UDP）
IPSネットワーク全般L3〜L7（ペイロード解析）
WAFWebアプリケーションL7（HTTPリクエスト・レスポンス）
ファイアウォール・IPS・WAFの守備範囲
ファイアウォール
L3〜L4・ネットワーク境界
IPS
L3〜L7・ペイロード解析
WAF
L7・Webアプリ攻撃を防御
多層防御
境界からアプリまで

WAFが検知・防御する攻撃

  • SQLインジェクション
  • XSS（クロスサイトスクリプティング）
  • CSRF
  • OWASP Top 10 に含まれる Webアプリ脆弱性

WAFの配置形態

形態説明例
リバースプロキシ型WAFがWebサーバの前段に位置最も一般的
クラウド型（CDN統合）CDN事業者がWAF機能を提供AWS WAF・Cloudflare
エージェント型Webサーバにモジュールを組み込むmod_security

WAFの限界

WAFはバイパス技術が存在します（エンコード変換・大文字小文字混在等）。WAFに頼りすぎず、アプリ側でも入力値検証・プリペアドステートメントを実施することが重要です。

SC試験での頻出ポイント

  • IDSとIPSの最大の違い：IDS は検知のみ（アラート）、IPS は検知＋遮断（インライン配置）
  • シグネチャとアノマリの使い分け：シグネチャは既知攻撃、アノマリは未知攻撃（ただし誤検知が多い）
  • タップ配置とインライン配置の違い：タップはコピーを解析（通信に影響なし）、インラインは通信経路上に挿入
  • WAFがSQLiを防げる理由とファイアウォールが防げない理由：WAFはHTTPの中身（クエリ文字列・ボディ）まで解析するため
  • False Positive（誤検知）の問題：IPSの誤検知は正常通信の遮断を引き起こしサービス停止につながる

よくある誤問・ひっかけパターン

誤り① 「IPSを導入すればIDSは不要」→ 誤。IPSが誤検知でブロックしたトラフィックの分析や、IPSを迂回した通信の検知にIDSが役立ちます。

誤り② 「WAFを導入すればXSSは完全に防げる」→ 誤。WAFにはバイパス手法があり、アプリ側での対策（出力エスケープ・CSP）との多層防御が必要です。

誤り③ 「シグネチャ検知は誤検知が多い」→ 誤。シグネチャ検知は誤検知が少ないことが特徴です。誤検知が多いのはアノマリ検知です。

関連用語

重要キーワード

用語説明
IDS侵入検知システム。不審な通信を検知してアラートを発報
IPS侵入防止システム。インライン配置で不審な通信を遮断
WAFWebアプリ特化のファイアウォール。SQLi・XSS等を検知・防御
シグネチャ検知既知の攻撃パターンと照合する検知方式
アノマリ検知正常なベースラインからの逸脱を検知する方式
False Positive正常な通信を攻撃と誤判定すること（誤検知）