とことこロゴス
IDS
ネットワークやサーバへの不正な侵入や攻撃の兆候を検知し、管理者に通知するシステム。通信そのものは遮断せず、監視と警告を行う。
イマシルちゃんの解説
IDSは、通信やサーバの動作を監視して攻撃の兆候を探す「侵入検知システム」だよ。
例えば、シグネチャと呼ぶ既知の攻撃パターンと通信の内容を照合するんだ。
怪しい動きがあれば管理者へ知らせて、被害の調査や対処につなげるよ。
通信を調べるネットワーク型と、サーバの動作記録であるログやファイルの変更を調べるホスト型があるの。
通信のコピーを受け取る構成なら、IDSが止まっても元の通信は流れ続けるよ。
ただし、警告するだけで攻撃を直接止めるわけではないから、気づいたあとに対処することが大切なんだ。
この解説はわかりやすかったですか？
より深い解説
定義
IDS（Intrusion Detection System：侵入検知システム）は、ネットワークを流れる通信や、サーバの上の動作（ログ、ファイルの変更など）を監視し、攻撃や不正アクセスの兆候を検知して、管理者に警告するシステムである。
監視する対象による分類
| 種類 | 監視する対象 | 設置場所 |
|---|---|---|
| ネットワーク型（NIDS） | ネットワークを流れるパケット | ネットワーク上（スイッチのミラーポートなど） |
| ホスト型（HIDS） | サーバのログ、ファイルの改ざん、プロセスの動きなど | 監視対象のサーバの上 |
ネットワーク型IDSの設置
ネットワーク型IDSは、通常、スイッチのミラーポート（ポートミラーリングで、監視したいポートの通信のコピーが出力されるポート）に接続する。IDSのネットワークインタフェースは、自分宛てではないフレームも受信対象とするプロミスキャスモードで動作する。プロミスキュアスモード、promiscuous modeという表記も使う。
通常のNICは宛先MACアドレスで受信対象を選別するため、キャプチャサーバへ届いたコピーでも、自分のMACアドレス宛てでなければ受け取れない場合がある。この受信側の制限を外すことと、スイッチからコピーを届けることは別の処理である。
プロミスキャスモードを有効にしても、スイッチが別ポートへだけ転送したフレームは見えない。ミラーリングやネットワークタップによって対象通信を監視インタフェースまで届ける必要がある。仮想NICを使う監視では、仮想スイッチ側の受信許可も関係する。
通信経路の外にあるため、IDSが故障したり、処理が遅れたりしても、通信には影響しない。その代わり、検知した通信を直接止めることはできない。
攻撃を見つける方式
判定を誤る場合
| 誤り | 内容 | 影響 |
|---|---|---|
| フォールスポジティブ（過検知） | 正常な通信を、攻撃と判断してしまう | 不要な警告が増え、本当の警告を見落としやすくなる |
| フォールスネガティブ（見逃し） | 攻撃を、正常な通信と判断してしまう | 攻撃に気づけない |
両者は一方を減らすと他方が増えやすい関係にあり、シグネチャやしきい値の調整（チューニング）が欠かせない。
IPSとの関係
IDSの「検知」の機能に、通信経路上での「遮断」の機能を加えたものがIPSである。最近の製品では、同じ機器を、ミラーポートに接続してIDSとして使うことも、経路上に置いてIPSとして使うこともできるものが多い。