侵入防止システム（IPS）の説明として、最も適切なものはどれか。
正解：エ
ア通信の送信元や宛先、ポート番号などの条件で、通す通信を仕分ける。
誤り。これはファイアウォールの説明です。あらかじめ決めた条件に合うかどうかで 機械的に仕分けるもので、通ってよい相手からの通信であれば、その中身が攻撃で あっても素通りします。IPSは通信の中身に攻撃の兆候がないかを見ます。
イ端末の中で起きた不審な動きを検知し、被害の調査や封じ込めを助ける。
誤り。これはEDRの説明です。どちらも「検知する」仕組みですが、見ている場所が 違います。EDRはPCやサーバといった端末の内部、IPSは端末に届くまでの ネットワーク上の通信です。
ウネットワーク上の不審な通信を検知して管理者へ知らせるが、通信は通す。
誤り。これは侵入検知システム（IDS）の説明です。IDSとIPSの違いはここだけで、 検知して知らせるところで止まるのがIDS、検知した通信を自ら遮断するところまで 行うのがIPSです。名前の「検知」と「防止」がそのまま役割の差です。
エネットワーク上の不審な通信を検知し、その通信を遮断して攻撃を防ぐ。
正解。IDSが持つ検知の機能に、遮断する機能を加えたものがIPSです。管理者の 対応を待たずにその場で止められる反面、正常な通信を誤って止めてしまう おそれもあります。
「見つけて知らせる」か「見つけて止める」か
IDSは、監視カメラを見ていて不審者を見つけたら通報する警備員です。通報はしますが、 本人を取り押さえはしません。IPSは、見つけたその場で通せんぼをします。 両者の中身はほとんど同じで、検知の後に遮断まで行うかどうかだけが違います。
それぞれの持ち場
- ファイアウォール：ネットワークの出入口の門番。送信元・宛先・ポート番号などの 条件で、通す通信と通さない通信を仕分けます。中身までは見ません
- IDS／IPS：通信の中身を攻撃の特徴と照らし合わせ、不審なものを見つけます。 知らせるだけがIDS、遮断まで行うのがIPS
- WAF：Webアプリケーションあての通信に絞って中身を検査し、アプリの作りの 不備を突く攻撃を防ぎます
- EDR：守る場所がネットワークではなく端末の中。侵入を許した後に、 何が起きたかを調べて封じ込める役割です
混同しやすいものとの違い
| 仕組み | 守る場所と役割 |
|---|---|
| ファイアウォール | 出入口で、条件に合う通信だけを通す |
| IDS | ネットワーク上の攻撃を検知し、知らせる |
| IPS | 検知に加えて、その通信を遮断する |
| WAF | Webアプリケーションあての通信の中身を検査する |
| EDR | 端末の中の不審な挙動を検知し、対応を助ける |
「検知」という言葉はSOCとも重なりますが、SOCは監視を担う組織のこと、 IDSやIPSはその監視に使う仕組みのことです。試験では、検知だけか遮断までかで IDSとIPSを見分けます。