セキュリティ製品の資料や提案書を読んでいると、「IDS/IPS」という言葉が当たり前のように並んでいます。ネットワークの不正侵入を防ぐ仕組みとして知られていますが、「IDSとIPSは何が違うのか」「ファイアウォールやWAFとは役割がどう分かれるのか」まで整理できている担当者は多くありません。
IDSとIPSは名前も役割も似ていますが、「検知して知らせるだけ」か「検知して遮断まで行う」かという明確な違いがあります。この違いと、それぞれが守る範囲を押さえておかないと、自社にどのセキュリティ製品を組み合わせればよいかを判断できません。
本記事では、IDS・IPSとは何かという定義から、両者の違い、検知の仕組み、設置形態までを整理します。あわせて、ファイアウォール・WAF・EDR/NDRなど周辺の製品との違いと使い分け、防げる攻撃と防げない攻撃までを、自社の対策を検討できるレベルで解説します。ネットワーク全体の監視を担うサービスについても紹介します。
目次
一括ダウンロードする
IDS・IPSとは
IDSとIPSは、どちらもネットワークやサーバーへの不正な侵入を見つけるための仕組みです。まずはそれぞれの言葉の意味と役割を確認します。
IDS（不正侵入検知システム）とは
IDS（Intrusion Detection System、不正侵入検知システム）とは、ネットワークやサーバーの通信を監視し、不正な通信や攻撃の兆候を検知して管理者に知らせる仕組みです。米国国立標準技術研究所（NIST）は、侵入検知を「コンピュータシステムやネットワークで起きている事象を監視し、セキュリティ上の問題の兆候がないか分析する処理」と定義しています。
IDSはあくまで「見張り役」で、不審な通信を見つけても、その通信を止めるのは管理者や別のシステムの役割です。検知した内容を通知することに専念するため、正常な通信を誤って止めてしまう心配が少ない点が特徴です。
IPS（不正侵入防御システム）とは
IPS（Intrusion Prevention System、不正侵入防御システム）とは、IDSと同じように不正な通信を検知したうえで、その通信の遮断まで自動で行う仕組みです。NISTも侵入防御を「侵入検知を行い、検知した問題を止めようとする処理」と説明しており、検知に「遮断」という対応が加わる点がIDSとの決定的な違いになります。
IPSは通信の経路上（インライン）に置かれ、通過する通信を直接制御して、危険と判断したものをその場でブロックします。通信を複製して監視する（ミラーリング）IDSと違い経路上に立つぶん、判断を誤ると正常な通信まで止めてしまうため、運用にあたっては検知ルールの調整が欠かせません。
IDSとIPSの違い
IDSとIPSの違いは、「不正を検知して知らせるだけか」「検知して遮断まで行うか」という対応範囲にあります。火災にたとえるなら、煙を見つけて警報を鳴らすのがIDS、警報に加えて自動で消火まで行うのがIPSに近い関係です。次の表で主な違いを整理します。
| 項目 | 主な役割 | 通信経路上の位置 | 攻撃への対応 | 誤検知時の影響 | 向いている場面 |
|---|---|---|---|---|---|
| IDS（不正侵入検知システム） | 不正な通信や攻撃の兆候を検知し、管理者に知らせる | 通信を複製して監視する（ミラーリング。通信経路の外に置く） | 検知と通知のみ（遮断は人や別システムが行う） | 正常な通信は止めないため、業務への影響は小さい | まず通信状況を把握したい、可用性を重視したい |
| IPS（不正侵入防御システム） | 検知に加えて、該当する通信の遮断まで自動で行う | 通信経路上に設置する（インライン。通過する通信を直接制御） | 検知した通信をその場で自動遮断する | 誤って正常な通信を止める恐れがあり、ルール調整が重要 | 攻撃をリアルタイムで自動的に食い止めたい |
※上記はIDS・IPSの一般的な違いの整理です。製品によっては検知と防御の両方の機能を備えるものもあります。
実務では、IDSとIPSはどちらか一方だけを選ぶというより、監視したい範囲や対応スピードに応じて使い分けたり、組み合わせて使ったりするのが一般的です。近年は、検知と防御の両方の機能を備えた製品も多く提供されています。
IDS・IPSが不正を見つける仕組み（検知方式）
IDS・IPSが不正な通信を見つける方法は、大きく「シグネチャ型」と「アノマリ型」の2つに分かれます。それぞれ得意な脅威が異なるため、仕組みを理解しておくと製品選びの判断材料になります。
シグネチャ型（既知の攻撃に強い）
シグネチャ型は、既知の攻撃パターンを「シグネチャ」として登録しておき、通信がそのパターンに一致するかどうかで不正を判断する方式です。NISTは、シグネチャ型検知について「既知の脅威の検知には非常に効果的だが、未知の脅威の検知にはほとんど効果がない」と整理しています。
登録済みのパターンと照合するため、既知の攻撃には高い精度で対応できます。半面、パターンが登録されていない新しい攻撃や、検知を避けるよう細工された攻撃は見逃しやすく、シグネチャを最新の状態に保つ運用が前提となります。
アノマリ型（未知の攻撃に強い）
アノマリ型は、平常時の通信の「正常な状態」を基準として学習し、そこから大きく外れた通信を異常として検知する方式です。NISTは、アノマリ型の大きな利点を「未知の脅威の検知に非常に効果的である点」としています。
パターンに頼らないため、シグネチャ型では捉えにくい新しい攻撃にも対応できる可能性があります。一方で、正常な業務通信まで異常と判断してしまう誤検知が起こりやすく、NISTも誤検知の多さを一般的な課題として挙げています。導入初期に正常な通信を丁寧に学習させ、定期的に調整していく運用が現実的です。
IDS・IPSの設置形態
IDS・IPSは、何を監視するか、どのように提供されるかによって設置形態が分かれます。まず代表的な3つの形態を紹介しますが、このうちネットワーク型とホスト型は「監視対象」による分類、クラウド型は「調達形態」による分類で、軸が異なる点に注意してください。最後にこの2つの軸で全体を整理します。
ネットワーク型（NIDS/NIPS）
ネットワーク型は、特定のネットワークセグメントを流れる通信を監視する形態です。NISTは、ネットワーク型を「ネットワークトラフィックを監視し、ネットワーク層・トランスポート層・アプリケーション層のプロトコルを分析して不審な活動を特定する」ものと説明しています。社内ネットワークの出入口など、通信が集まる場所に設置して広い範囲を見張るのに向いています。
ホスト型（HIDS/HIPS）
ホスト型は、サーバーやPCなど個々の機器（ホスト）にソフトウェアを入れ、その機器内の通信やログ、ファイルの変化を監視する形態です。NISTは、ホスト型を「単一のホストの特性と、そのホスト内で起きる事象を監視して不審な活動を検知する」ものと定義しています。重要なサーバーを個別に手厚く監視したい場合に適しています。
クラウド型
クラウド型は、事業者が提供するクラウドサービスとしてIDS・IPSの機能を利用する形態です。自社に専用機器を設置せずに導入でき、監視やシグネチャ更新などの運用を事業者に任せられるため、専任の担当者を置きにくい企業でも利用しやすいのが利点です。
「監視対象」と「調達形態」の2軸で整理する
設置形態を考えるときは、2つの軸を分けて捉えると混乱しにくくなります。1つ目は「何を監視するか」という監視対象の軸で、ネットワーク全体を見るネットワーク型と、個々の機器を見るホスト型に分かれます。2つ目は「どう調達するか」という調達形態の軸で、自社に機器を置くアプライアンス型、クラウドサービスとして使うクラウド型、後述するUTMのように他の機能とまとめて導入する形などがあります。
「ネットワーク型かホスト型か」は監視する対象の話、「アプライアンスかクラウドか」は導入・調達の話であり、別の軸の選択です。この2つを分けて考えると、自社に合う組み合わせを整理しやすくなります。
ファイアウォール・WAF・UTM・EDR/NDRとの違いと使い分け
IDS・IPSと混同しやすいのが、ファイアウォールやWAFといった他のセキュリティ製品です。これらは「どの層の、どんな攻撃を守るか」がそれぞれ異なり、組み合わせて多層で守るのが基本になります。まずファイアウォールとWAFとの違いを押さえ、そのうえでUTMやEDR/NDRを含めた全体像を整理します。
ファイアウォール（FW）との違い
ファイアウォール（FW）は、IPアドレスやポート番号をもとに通信を「通す・通さない」を制御する仕組みです。通信の入口で可否を判断しますが、通過を許可した通信の中身までは細かく検査しません。IDS・IPSは、その許可された通信の中身に潜む攻撃の兆候を検知・防御する役割を担い、ファイアウォールを補完する関係にあります。
WAFとの違い
WAF（Web Application Firewall）は、Webアプリケーションを狙った攻撃に特化した防御の仕組みです。後述するSQLインジェクションやクロスサイト・スクリプティングなど、Webアプリケーション層で起こる攻撃を防ぐことを得意とします。ネットワーク寄りの攻撃を見るIDS・IPSとは守備範囲が異なるため、両者は競合ではなく役割分担の関係にあります。
UTM・EDR・NDR・SASE・SIEMとの違い（早見表）
セキュリティ製品には、IDS・IPSと隣り合う分野が数多くあります。それぞれが守る対象と役割を一覧で確認し、IDS・IPSとの関係を整理します。
| 製品・仕組み | IDS・IPS | ファイアウォール（FW） | WAF | UTM（統合脅威管理） | EDR（エンドポイント検知・対応） | NDR（ネットワーク検知・対応） | SASE | SIEM |
|---|---|---|---|---|---|---|---|---|
| 主に守る対象・層 | ネットワークの通信（一部アプリケーション層のプロトコルも解析） | ネットワーク層（IPアドレス・ポート番号） | Webアプリケーション層 | 複数機能の統合 | エンドポイント（PC・サーバー） | ネットワーク全体 | ネットワークとアクセスの統合 | 各機器のログ（横断） |
| 主な役割 | 不正な通信・攻撃の兆候を検知し、IPSは遮断も行う | 通信の可否を制御する（中身は精査しない） | SQLインジェクション・XSSなどWeb攻撃を防ぐ | FW・IDS/IPS・アンチウイルスなどを1台に統合 | 端末に侵入した後の不審な挙動を検知・対応 | 通信を継続的に分析し内部拡散や未知の脅威を可視化 | クラウド前提でネットワークとセキュリティを一体提供 | ログを集約・相関分析し脅威を検出 |
| IDS・IPSとの関係 | — | 入口を制御。通過後の中身はIDS・IPSが見る | IDS・IPSの守備範囲外を補う | IDS/IPS機能を内包する製品もある | ネットワークではなく端末側を見る | IDS/IPSの発展形。全体の可視化を担う | 境界防御の考え方を刷新する枠組み | IDS/IPSのアラートを集約・分析する |
※各製品が守る対象・役割は代表的な位置づけです。実際の機能や対応範囲は製品によって異なります。
このように、IDS・IPSは「ネットワークの通信に潜む不正の検知・防御」を担う一要素であり、Webアプリケーションを守るWAF、端末を守るEDR、ネットワーク全体を可視化するNDRなどと組み合わせて、多層で守る考え方が主流になっています。
この役割分担を通信の流れの上に整理すると、次の図のようになります。
IDS・IPSで防げる攻撃・防げない攻撃
IDS・IPSは万能ではなく、得意とする攻撃と、他の仕組みに任せるべき攻撃があります。ここを正しく理解しておかないと、「IDS・IPSさえ入れれば安心」という誤解につながります。防げる攻撃・防げない攻撃と、単体では守りきれない理由を順に整理します。
防げる攻撃
IDS・IPSが得意とするのは、ネットワークやサーバーの通信として現れる攻撃です。代表的なものは次のとおりです。
- DoS攻撃・DDoS攻撃：大量の通信を送りつけてサービスを停止させる攻撃
- SYNフラッド攻撃：接続要求を大量に送りつけてサーバーを圧迫する攻撃
- バッファオーバーフロー・既知の脆弱性を悪用する攻撃：ソフトウェアの弱点を突く攻撃
- マルウェアによる不審な通信：感染端末が外部と行う不正な通信
これらは実際の脅威として発生しています。警察庁は、令和6年に政府機関・交通機関・金融機関などの重要インフラ事業者でDDoS攻撃とみられる被害が相次いだと報告しており、通信として現れる攻撃を検知・防御する仕組みの必要性を示しています。
出典・参考資料（1件）
防げない攻撃（WAFの領域）
一方で、Webアプリケーションの作りの問題を突く攻撃は、IDS・IPSだけでは取りこぼしやすく、専用防御であるWAFの領域とされています。主な攻撃は次のとおりです。
- SQLインジェクション：入力値を悪用してデータベースを不正に操作する攻撃
- クロスサイト・スクリプティング（XSS）：Webページに不正なスクリプトを埋め込む攻撃
- OSコマンド・インジェクション：Webサーバーに不正なOSコマンドを実行させる攻撃
たとえばSQLインジェクションについて、情報処理推進機構（IPA）は次のように説明しています。
SQL文の組み立て方法に問題がある場合、攻撃によってデータベースの不正利用をまねく可能性があります。このような問題を「SQLインジェクションの脆弱性」と呼び、問題を悪用した攻撃を、「SQLインジェクション攻撃」と呼びます。
出典：安全なウェブサイトの作り方 1.1 SQLインジェクション｜情報処理推進機構（IPA）
IPAは、クロスサイト・スクリプティングやOSコマンド・インジェクションも、Webページへの出力処理や入力値の扱いに問題があるときに成立する、ウェブアプリケーションの脆弱性として整理しています。いずれもアプリケーションの内部処理に関わる攻撃のため、通信を監視するIDS・IPSでは検知しきれず、専用防御であるWAFと組み合わせて守るのが基本です。
出典・参考資料（4件）
単体では防ぎきれない現代的なリスク
近年は、IDS・IPSだけでは捉えにくいリスクも増えています。通信の暗号化が一般的になり中身を検査しづらくなっていることに加え、VPN機器やリモートデスクトップの悪用、特定の企業を狙う標的型攻撃、ランサムウェアといった脅威が広がっています。
警察庁の報告では、令和6年のランサムウェアの被害報告件数は222件で、引き続き高水準で推移しているとされています。感染経路についても、次のように指摘されています。
上述のアンケート結果によると、VPNやリモートデスクトップ用の機器からの侵入が、全体の感染経路の8割以上を占める状況であるところ、その原因としては、ID・パスワード等が非常に安易であったことや、不必要なアカウントがきちんと管理されずに存在していたことなどが挙げられる。
出典：令和6年におけるサイバー空間をめぐる脅威の情勢等について｜警察庁
こうした侵入は、正規の経路や認証情報を悪用するため、外部からの不正通信を見張るIDS・IPSだけでは気づきにくいのが実情です。NISTも、堅牢な防御には複数の種類の仕組みの併用が必要で、検知は完全ではないと述べています。侵入後に社内で拡大する不審な動きまで捉えるには、ネットワーク全体を継続的に可視化するNDRなど、他の仕組みと組み合わせた多層防御が求められます。
出典・参考資料（2件）
一括ダウンロードする
IDS・IPS導入・製品選定のポイント
ここまでの内容を踏まえ、自社にIDS・IPSやその周辺の対策を検討するときの考え方を整理します。
多層防御の中でのIDS・IPSの位置づけ
IDS・IPSは、ネットワークの通信に潜む不正の検知・防御を担う一要素で、単体ですべての脅威を防ぐものではありません。前の章で整理した各ソリューションの守備範囲を踏まえ、まず自社が守るべき対象と、現状で手薄な範囲を洗い出すことが、必要な対策を見極める出発点になります。
そのうえで、自社にIDS・IPSが本当に必要か、既存の対策や他の仕組みで代替できないか迷う場合は、不要なケースと必要なケースの分かれ目を整理した以下の記事が判断の助けになります。
選定時のチェックポイント
製品を比較するときは、次のような観点を確認すると自社に合うものを絞り込みやすくなります。
- 守備範囲：ネットワーク型・ホスト型のどちらか、検知だけか防御まで行うか
- 調達形態：設置形態で整理したアプライアンス型・クラウド型・UTM統合のうち、自社の体制で運用できる形を選べるか
- 費用：初期費用・月額費用に加え、運用にかかる人的コスト
- サポート・運用体制：検知ルールの調整や監視を自社で行うか、事業者に任せられるか
特に、アノマリ型の検知や継続的な監視は運用の負担が大きくなりやすいため、自社に専任の担当者を置けるかどうかは重要な判断材料です。運用まで任せられるサービスを選べば、専門人材が不足している企業でも導入しやすくなります。
ここで挙げた検知方式・設置形態・運用体制といった観点で、実際のIDS・IPS製品を横並びで比べたい場合は、主要製品を比較した以下の記事が参考になります。
ネットワークの脅威検知・可視化を担う主なサービス
ここからは、IDS・IPSの発展形として、ネットワーク全体の通信を継続的に分析し脅威を検知・可視化するNDR（Network Detection and Response）に対応した主なサービスを紹介します。
前章で述べたとおり、IDS・IPS単体では暗号化された通信の中身や内部への侵入拡大を捉えにくいため、実務では検知範囲を広げたNDRを多層防御の軸に据える例が増えています。IDS・IPS製品そのものを比べたい場合は、上記の関連記事もあわせてご覧ください。
| 比較項目 | Network Blackbox | Darktrace | Vectra AI |
|---|---|---|---|
| 提供会社 | 株式会社クワッドマイナージャパン | Darktrace Limited（日本法人：ダークトレース・ジャパン株式会社） | Vectra AI, Inc.（国内代理店：マクニカ株式会社） |
| 検知レイヤー | ネットワーク型（NDR／フルパケットキャプチャ） | ネットワーク型（NDR） | ネットワーク型（NDR） |
| 検知方式 | シグネチャ検知＋振る舞い異常検知 | 自己学習型AIによる異常検知（シグネチャ非依存） | AI行動分析（検知エンジン「Attack Signal Intelligence」） |
| 主な対応範囲 | ネットワーク全体（IT／OT）。 全パケットを保存し事後調査（フォレンジック）に対応 | ネットワークが主。 メール・クラウド・OT・アイデンティティ・エンドポイントも横断 | オンプレミス／マルチクラウド／ アイデンティティ／Microsoft 365／IoT・OT |
| 初期費用 | 要問い合わせ | 要問い合わせ | 要問い合わせ |
| 月額費用 | 要問い合わせ | 要問い合わせ（監視デバイス数に応じた個別見積もり） | 要問い合わせ |
| 無料トライアル | 公表なし（デモ予約あり） | 要問い合わせ | トライアル相談可（マクニカ窓口） |
| 導入実績 | 具体的な社名・件数は非公表 （国防機関・大手銀行などの業種事例） | 世界で約10,000社 | 世界で約1,500社 |
| 国内の提供・サポート体制 | 日本法人が提供 （国内総代理店：フーバーブレイン） | 日本法人が窓口 （販売代理店経由の提供が中心） | マクニカ株式会社が代理店として提供 |
| 詳細情報 | 公式資料を見る | 詳細を見る | 詳細を見る |
ここで紹介した3サービスを含め、NDR製品を検知方式・国内サポート体制・費用で横並びに比較したい場合は、主要なNDRサービスを一覧でまとめた以下の記事が参考になります。
NDR（ネットワーク検知・対応）おすすめ15選を徹底比較｜検知方式・国内サポート・費用で選ぶ
EDR（エンドポイント検知・対応）を導入しても、境界を越えて侵入した攻撃者が社内ネットワークを横移動する動きや、エージェントを入れられないサーバ・IoT・OT機器の不審な通信までは捉えきれません。警察庁の統計でも、VPNやリモートデスクトッ…
ここで挙げたサービスを含め、NDRやその他の方式まで幅広く不正アクセスを検知するシステムを比較検討したい方に向けて、タイプ別の選び方や料金をまとめた記事もあります。導入を検討される方は、あわせてご覧ください。
不正アクセス検知システムおすすめ18選｜4タイプ別の選び方を徹底比較
ファイアウォールやWAF（Web Application Firewall：Webアプリケーション用の防御壁）で入口は固めたものの、漏えいしたIDとパスワードを使った大量ログインや、すり抜けたマルウェア（ウイルス）が社内で広がる動きまでは捉…
1. Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackboxは、ネットワークを流れる全パケットを取り込んで保存・分析する、フルパケットキャプチャを基盤としたNDRソリューションです。韓国のQuad Miners社が開発し、日本では株式会社クワッドマイナージャパンが提供しています。
既知の攻撃を照合するシグネチャベースの検知と、通信の振る舞いから異常を見つける検知の両方を備えている点が特徴です。全通信を記録して残すため、外部からの侵入や社内での不審な通信、情報の持ち出しといった、ネットワーク上に痕跡が残る事象の検知と、事後の調査（フォレンジック）に対応できます。
2. Darktrace（Darktrace Limited）
英国で2013年に創業したDarktraceは、自己学習型のAIを中核に据えたサイバーセキュリティサービスです。組織ごとの「正常な挙動」をAIが学習し、そこから外れた動きを手がかりに、既知・未知の脅威をリアルタイムで検知します。提供元はDarktrace Limitedで、日本ではダークトレース・ジャパン株式会社が窓口を担っています。
ネットワークの挙動分析（NDR）を起点に、シグネチャに依存しない異常検知で、社内での侵入拡大やランサムウェアなどを捉えることを狙います。公式によると、世界で約10,000社に導入されており、ネットワークだけでなくメールやクラウドなど複数の領域を横断してカバーする構成です。
3. Vectra AI（Vectra AI, Inc.）
ネットワークトラフィックの振る舞いをAIで分析し、社内に侵入した高度な脅威を見つけ出すのがVectra AIです。米国のVectra AI, Inc.が開発し、日本ではマクニカ株式会社が代理店として販売・サポートを担当しています。シグネチャ照合ではなく行動分析を主軸に据えている点が特徴です。
検知エンジン「Attack Signal Intelligence」により、大量のアラートの中から「いま侵害が起きている箇所」を絞り込むことを狙う設計です。オンプレミスの環境に加え、複数のクラウドやID基盤まで対象範囲に含みます。公式によると、世界で約1,500社への導入実績があります。
まとめ
IDS・IPSは、ネットワークの通信を監視して不正な侵入を見つける仕組みで、検知して知らせるだけのIDSと、遮断まで自動で行うIPSに分かれます。検知方式にはシグネチャ型とアノマリ型があり、設置形態も監視対象と調達形態の2軸で整理できます。
ただし、IDS・IPSだけですべての攻撃を防げるわけではありません。Webアプリケーション層やエンドポイント、ネットワーク全体の可視化といった守備範囲外は、専用の仕組みと組み合わせて多層で守る前提で考えることが大切です。まずは自社が守るべき対象と手薄な範囲を整理したうえで、必要なサービスの比較・検討を進めてください。
一括ダウンロードする
よくある質問（FAQ）
Q. IDS・IPSとは何ですか？
A. IDS・IPSとは、ネットワークやサーバーの通信を監視し、不正な侵入や攻撃の兆候を見つけるための仕組みです。IDS（Intrusion Detection System、不正侵入検知システム）は不正を検知して管理者に知らせる役割を担い、IPS（Intrusion Prevention System、不正侵入防御システム）は検知に加えて、該当する通信の遮断まで自動で行う点が異なります。
Q. IDSとIPSはどう使い分ければよいですか？
A. IDSとIPSの使い分けは、攻撃をその場で自動的に止めたいか、まず通信状況を把握したいかで判断します。可用性を重視し、誤って正常な通信を止めたくない場合はIDS、情報漏洩対策を優先し攻撃をリアルタイムで遮断したい場合はIPSが向きます。実務ではどちらか一方に絞るのではなく、広く監視したい範囲はIDS、重要なシステムはIPSというように併用するのが一般的です。
Q. ファイアウォールを導入していれば、IDS・IPSは不要ですか？
A. ファイアウォールを導入していても、IDS・IPSは別途必要になる場合があります。ファイアウォールはIPアドレスやポート番号をもとに通信の可否を判断しますが、通過を許可した通信の中身までは細かく検査しません。IDS・IPSは、その許可された通信に潜む攻撃の兆候を検知・防御する役割を担うため、ファイアウォールを補完する関係にあります。
Q. IDS・IPSとWAFは何が違い、両方必要ですか？
A. IDS・IPSとWAFは守る対象が異なり、Webアプリケーションを運営しているなら両方を検討する価値があります。IDS・IPSはネットワークの通信に潜む攻撃を、WAFはSQLインジェクションやクロスサイト・スクリプティング（XSS）などWebアプリケーション層の攻撃を防ぎます。IDS・IPSだけでは取りこぼしやすいWeb攻撃をWAFが補うため、両者は競合ではなく役割分担の関係です。
Q. IDS・IPSとUTM・EDRは何が違いますか？
A. UTMはIDS/IPSを含む複数のセキュリティ機能を1台に統合した製品、EDRはPCやサーバーなど端末側の不審な挙動を検知・対応する仕組みで、ネットワークの通信を監視するIDS・IPSとは守る対象が異なります。UTMはファイアウォールやアンチウイルスなどとまとめてIDS/IPS機能を導入できる形態で、EDRは端末に侵入された後の対応を得意とします。
いずれもIDS・IPSと役割が異なるため、組み合わせて多層で守るのが基本です。
Q. IDS・IPSの誤検知が多い場合はどうすればよいですか？
A. 誤検知が多い場合は、検知ルールの調整と監視範囲の見直しで対応します。特にアノマリ型は未知の攻撃を捉えられる利点がある一方、導入初期は正常な業務通信まで異常と判断しやすいため、正常な通信を基準として学習させ、定期的にチューニングすることで誤検知を抑えられます。対応が必要なアラートに絞る運用や、シグネチャ型との組み合わせも有効です。
Q. IDS・IPSで防げない攻撃にはどのようなものがありますか？
A. IDS・IPSでは、SQLインジェクションやクロスサイト・スクリプティング（XSS）、OSコマンド・インジェクションといったWebアプリケーションの作りを突く攻撃は防ぎきれません。これらはアプリケーションの内部処理に関わる攻撃のため、専用防御であるWAFの領域とされます。
また、暗号化された通信やVPN・リモートデスクトップの悪用、標的型攻撃なども単体では捉えにくく、WAFやNDRなど他の仕組みと組み合わせた多層防御が必要です。
Q. IDS・IPSの導入形態にはどのような種類がありますか？
A. IDS・IPSの導入形態は、「何を監視するか」と「どう調達するか」の2つの軸で整理できます。監視対象では、ネットワーク全体を見るネットワーク型と、個々の機器を見るホスト型に分かれます。調達形態では、自社に機器を置くアプライアンス型、クラウドサービスとして使うクラウド型、UTMのように他の機能とまとめて導入する形などがあります。
重要なサーバーはホスト型、境界の監視はネットワーク型というように、監視したい対象に応じて選びます。
不正検知ソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、IDS・IPSやNDRをはじめとする不正検知ソリューションの最新資料を無料で一括請求できます。検知方式や対応範囲、費用を比べながら、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
