【SC試験】IDS/IPS運用（シグネチャ型・アノマリ型） — 午前I・午前II・午後 問題セット

正解： イ）

解説：

• ア）不正解。IDS（Intrusion Detection System）は検知と警告（アラート通知）が基本機能であり、通信の遮断（防御）機能は原則持たない。遮断まで行うのはIPSの役割。
• イ）正解。IPS（Intrusion Prevention System）はネットワーク経路上に直接設置（インライン配置）され、不正な通信パターンを検知した場合にリアルタイムで当該通信を遮断できる。
• ウ）不正解。従来の（ステートフルインスペクション型）ファイアウォールは主にIPアドレスやポート番号、コネクション状態に基づいてアクセス制御を行い、アプリケーション層のペイロード内容の詳細な解析は行わない（近年のNGFWは一部融合しているが、基本のFWとIDS/IPSは役割が異なる）。
• エ）不正解。IDS/IPSはネットワークやホスト上の通信・挙動をリアルタイムに監視する仕組みであり、マルウェアの静的解析（ファイル単体の事前分析）とは異なる。

正解： イ）

解説：

• ア）不正解。これはシグネチャ型（パターンマッチング型）の説明。既知の攻撃パターン（シグネチャ）のデータベースと通信内容を照合する方式で、既知の攻撃には強いが未知の攻撃（ゼロデイ等）には対応しにくい。
• イ）正解。アノマリ型は正常な通信の統計的な振る舞い（ベースライン）を学習・定義し、そこから統計的に逸脱する通信を異常として検知する。未知の攻撃（シグネチャが存在しない攻撃）も検知できる可能性がある一方、正常な通信の変化（新しい業務アプリの導入等）も異常と誤検知しやすいという課題がある。
• ウ）不正解。アノマリ型はベースラインの定義や閾値のチューニングが継続的に必要であり、環境変化に応じた再学習・調整をしないと誤検知が増加する。
• エ）不正解。IPアドレスのブラックリスト照合はごく単純なフィルタリング手法であり、シグネチャ型・アノマリ型いずれの本質的な検知方式とも異なる。

正解例： フォールスポジティブ（False Positive）

解説・採点基準（計10点）：

正当な通信を不正と誤判定することをフォールスポジティブ（偽陽性）、逆に不正な通信を見逃すことをフォールスネガティブ（偽陰性、False Negative）と呼ぶ。IPS運用ではこの両者のバランス（検知の網羅性と誤検知の抑制）を取ることが重要な課題となる。

正解例：

1. 業務通信の特性に合わせてシグネチャの検知閾値・ルールをチューニングする。
2. 誤検知が頻発するシグネチャを個別に無効化またはホワイトリスト化する。

解説・採点基準（計15点）：

シグネチャ型IPSは汎用的なシグネチャセットをベンダから提供されることが多く、自社の業務通信パターンに合わないルールが誤検知の原因となることがある。運用担当者は誤検知が多発するシグネチャを特定し、感度の調整や個別無効化、既知の正当な通信元・宛先の除外設定（ホワイトリスト）を行うことで、検知精度と業務継続性のバランスを取る必要がある。段階的にブロックモードから検知のみのモードへ切り替えて様子を見る運用（チューニング期間の設定）も有効な解答となる。