第2回　 IDSってご存知ですか？

ページ  1／2

現在のセキュリティ事情

『IDS』 。聞きなれない方が多いかも知れませんが、 『ファイアウォール』 という言葉はご存知の方が多いでしょう。また、既に導入済である、というサイトが大半ではないでしょうか。
では、ファイアウォールの機能とはどのようなものでしょう？
外部からの不正アクセスや攻撃から自サイトを保護する万能機器的なイメージをもっておられる方もいらっしゃるのではないでしょうか？
ファイアウォールは決して万能機器ではありません。極端に言えば、ファイアウォールとは、設定内容に基づき、通信を通過させるか通信を破棄するか、だけを行います。
例を挙げて説明してみましょう。皆様のサイトにおいて、Webサーバを立ち上げ、The Internet上に公開するとします。この場合、ファイアウォールにおいては、Webサーバへの通信(HTTPリクエスト)は通過させるよう設定を行う必要があります。
このように設定されたファイアウォールは、WebサーバへのHTTPリクエスト以外の通信を破棄し、HTTPリクエストのみを通過させます。これがファイアウォールの機能です。
しかし、これは別の見方をすれば、HTTPリクエストであればどのようなものであってもファイアウォールを通過することが出来ると言えます。ファイアウォールは、それが正常な通信であるか、攻撃による通信であるか、を判断することが出来ないのです。これが先に万能機器ではないとした理由です。
したがってWebサーバ自体にセキュリティホールが発見され、その対処が遅れれば、Webサーバは直接攻撃を受けることになります。
上記の様な、サービス(アプリケーション)に対しての直接的な攻撃が増加しているというのが現在のセキュリティ事情です。
また、サイト内部へ既にワームやウィルスに感染したノートPC等を持ち込み、内部から感染が広がるというケースも少なくありません。この様なケースの場合にも、やはりファイアウォールでは防ぎ切れない場合が多い、というのが実情でしょう。

IDSとは

そこでこれらファイアウォールだけでは防ぎ切れない脅威からサイトを守る為に導入が検討されるようになってきたのが、『IDS』です。
IDSとは Intrusion Detection System の略であり、一般的には「侵入検知システム」となります。
では、どういう機能をもっているのでしょうか？ファイアウォールが通信における、送信元、宛先、リクエストするサービスの種別、程度までの情報しか検査していないのに対して、IDS では、そのリクエストの内容までを見て、それが正常な通信であるか、攻撃であるかの判定を行います。
もう少し具体的に説明してみましょう。攻撃と呼ばれる通信は、必ず攻撃を行う為の情報を含んでいます。IDSでは、通信パケット毎に、この攻撃パターンのデータベース(一般にSignatureとよばれています。)との比較を行い、攻撃通信であるか、通常通信であるかの判定を行います。
上記の様な機能(パケット中の攻撃パターン検査)を行う為、IDSで全てのパケットを検査する、つまりファイアウォールの置き換えとしての導入は、機器に対する負荷が高いため、不向きといえます。
IDSをファイアウォールと組合せ、ファイアウォールで大半の攻撃をしぼった上で、なお、ファイアウォールを通過する通信に対して、IDSによる検査を行うことで、より攻撃に対するセキュリティレベルを高める。といった導入形態が一般的です。

IDSにおける短所

　しかし、ファイアウォールと IDSの組合せにも弱点はあります。

まず、IDSは攻撃の検知は行えますが、リアルタイムで攻撃の防御が出来ないという点です。
これはどういうことでしょうか？これは、IDSの設置形態に起因します。一般的な IDSは、ファイアウォールの配下にサーバ等と同様に設置します。そして、設置されたネットワーク上を流れる通信を全て監視します。しかし、IDSは攻撃の防御が出来ないため、攻撃を検知した時には、既に攻撃はその対象であるサーバへ到達しているのです。(図１)
ファイアウォールと連動し、攻撃を検知した段階で、ファイアウォールにその情報を送信し、ファイアウォールで攻撃を遮断するといったIDSの製品もありますが、前述の通り、ファイアウォールが動作する段階では、既に攻撃通信は攻撃対象に到達しているのです。

図1 ファイアウォールとIDSによる攻撃検知

　また、誤検知(正常な通信を攻撃通信と判断してしまう)が多いというのも一般的な IDSにおける短所と言われています。
誤検知を削減し、正確な攻撃検知を行う為には継続的なチューニングを行う必要があります。しかし、多大な運用コストに対して費用対効果が乏しいのが現状です。
また、リアルタイムでの防御が不可能な為、攻撃を検知した後は、人手に頼らざるを得ない点も短所の一つです。

関連ソリューション

• 攻撃検知・防御サービス　IDPパック

コラムについてのお問い合わせ

ページの先頭へ戻る