ネットワークの侵入検知とは？IDS・IPSの違いと検知の仕組み・NDRへの発展をわかりやすく解説

社内ネットワークにファイアウォールを導入していても、その検査をすり抜けて内部に入り込む通信を見逃していないか、不安に感じることはないでしょうか。こうした「すでに侵入した通信」や不審な動きに気づくための仕組みが、侵入検知システム（IDS：Intrusion Detection System）です。

IDSは、ネットワークを流れる通信を監視し、攻撃の兆候や異常な通信を見つけて管理者に知らせます。検知だけを担うIDSと、検知に加えて通信の遮断まで行うIPS（Intrusion Prevention System）、さらに両者の限界を補うNDR（Network Detection and Response）まで、「ネットワークへの侵入を検知する仕組み」には複数の選択肢があります。

本記事では、IDSの仕組みからIPS・NDRとの違い、検知方式や設置場所、検知の限界までを解説します。自社のネットワークに何を備えるべきかを判断する材料としてご活用ください。

ネットワークの侵入検知（IDS）とは

ネットワークの侵入検知とは、ネットワークを流れる通信を監視し、攻撃や不正アクセスの兆候を見つけて管理者に知らせる仕組みです。この役割を自動化したソフトウェアが侵入検知システム（IDS：Intrusion Detection System）です。

公的機関であるIPA（独立行政法人情報処理推進機構）が翻訳監修した、米国国立標準技術研究所（NIST）のガイドラインでは、侵入検知を次のように定義しています。

侵入検知とは、コンピュータシステムまたはネットワークに発生するイベントを監視し、それらを分析することによって、インシデントと考えられる兆候を検知するプロセスである。このインシデントとは、コンピュータのセキュリティポリシー、利用規定、標準セキュリティプラクティスに対する、違反または差し迫った違反の脅威を意味する。

出典：侵入検知および侵入防止システム（IDPS）に関するガイド（NIST SP 800-94）｜IPA 翻訳監修版

かみ砕くと、IDSは「ネットワークを流れる通信をコピーして見張り、既知の攻撃パターンや普段と異なる通信を見つけたら警告を出す」仕組みです。ファイアウォールが通信の入口で通す・止めるを判断するのに対し、IDSは入口を通過したあとの通信まで監視し、侵入の兆候に気づく役割を担います。

出典・参考資料（1件）

• 出典：侵入検知および侵入防止システム（IDPS）に関するガイド（NIST SP 800-94）｜独立行政法人情報処理推進機構（IPA）翻訳監修版（PDF）

IDSとIPSの違い

ここからは、IDSとよく並べて語られるIPSとの違いを整理します。両者の違いは「検知だけか、遮断までするか」に集約されます。

IDS（侵入検知システム）は侵入の兆候を検知して管理者に通知するソフトウェアで、通信そのものは止めません。一方のIPS（Intrusion Prevention System：侵入防止システム）は、IDSの検知機能に加えて、不正と判断した通信を自動で遮断する機能を備えています。

NISTのガイドラインも、IPSを「侵入検知システムのすべての機能に加え、インシデントと考えられるイベントを阻止することを試みる機能を備えたソフトウェア」と定義しています。

観点	IDS（侵入検知システム）	IPS（侵入防止システム）
主な役割	検知して管理者に通知する	検知して通信を遮断する
通信への介入	通信のコピーを監視（原則パッシブ）	通信経路上に置いて遮断（インライン）
誤検知時の影響	アラートが増える（正規の通信は流れる）	正規の通信まで止めてしまうおそれがある
向いている場面	まず侵入の状況を把握したい	検知した攻撃を自動で止めたい

IPSは通信経路上に設置して遮断するため、誤検知が起きると業務に必要な正規の通信まで止めてしまうおそれがあります。どちらを選ぶかは、この誤遮断の影響を許容できるかどうかが判断の分かれ目です。

近年は、IDSとIPSの機能を1つの製品に統合した形（IDPS：Intrusion Detection and Prevention System）が一般的で、検知だけで使うか遮断まで有効にするかを設定で切り替える製品も多くあります。

IDSの種類（NIDS・HIDS）

ここからは、IDSを「どこを監視するか」で分けた2つの種類を解説します。自社で何を守りたいかによって、適した種類が変わります。

ネットワーク型IDS（NIDS：Network-based IDS）は、ネットワークを流れる通信を監視し、ネットワーク・トランスポート・アプリケーションの各層のプロトコルを解析して不審な活動を見つけます。ホスト型IDS（HIDS：Host-based IDS）は、個々の端末やサーバーの内部で起きるイベント（システムログ・実行中のプロセス・ファイルへのアクセスや変更など）を監視します。

観点	ネットワーク型（NIDS）	ホスト型（HIDS）
監視する対象	ネットワークを流れる通信	個々の端末・サーバー内部のイベント（ログ・ファイル変更・プロセス）
置き場所	ネットワークセグメント上	各端末・サーバー
得意なこと	ネットワーク全体を広く監視し、外部からの攻撃をとらえる	端末内部の変化をとらえる。暗号化された通信も復号後の活動を監視できる
注意点	暗号化された通信の中身は見えない	導入した端末しか監視できない

この違いから実務では、ネットワーク全体をNIDSで広く見張りつつ、暗号化された通信の中身など見えない範囲や重要なサーバーはHIDSで補う構成が推奨されます。自社が外部からの侵入をまず広く監視したいのか、特定の重要資産を厚く守りたいのかで、優先する種類を選ぶとよいでしょう。

IDSの検知方式（シグネチャ型・アノマリ型）

続いて、IDSが「どうやって不正を見分けるか」という検知方式を見ていきます。代表的なのはシグネチャ型とアノマリ型の2つで、それぞれ得意な攻撃と見逃しやすい攻撃が異なります。

シグネチャ型（既知の攻撃パターンと照合する）

シグネチャ型は、既知の攻撃パターン（シグネチャ）と観測した通信を照合して不正を見つける方式です。NISTのガイドラインは、その得意・不得意を次のように説明しています。

シグネチャベースの検知は、既知の脅威に対しては非常に有効であるが、まだ知られていない脅威、回避テクニックにより偽装された脅威、既知の脅威のさまざまな変種に対しては効果を発揮できないことが多い。

出典：侵入検知および侵入防止システム（IDPS）に関するガイド（NIST SP 800-94）｜IPA 翻訳監修版

シグネチャ型は、既知の攻撃には高い精度で反応し誤検知も少ない反面、まだパターンが登録されていない未知の攻撃や、その亜種・偽装された攻撃を見逃しやすいという弱点があります。精度を保つにはシグネチャの継続的な更新が欠かせません。

アノマリ型（正常時との違いを検知する）

アノマリ型は、正常とみなされる通信の基準（プロファイル）をあらかじめ学習し、そこから大きく逸脱した通信を異常として検知する方式です。NISTのガイドラインは、未知の脅威の検知に非常に有効である一方、次のような弱点があると指摘しています。

アノマリベースのIDPS製品は、特に、より多様性に富んだ環境、または、より変化の大きな環境において、プロファイルから大幅に逸脱した正当な活動が原因となって、しばしばフォールスポジティブが多数発生する。

出典：侵入検知および侵入防止システム（IDPS）に関するガイド（NIST SP 800-94）｜IPA 翻訳監修版

アノマリ型は、シグネチャが無い未知の攻撃やゼロデイ攻撃に強い反面、正常な通信でも基準から外れると異常と判断してしまい、誤検知（フォールスポジティブ）が多くなりがちです。導入時には自社の通信環境に合わせたチューニングが前提になります。

NISTのガイドラインは検知方式をシグネチャ型・アノマリ型に加えてステートフルプロトコル解析を含む3種類に分類していますが、実務ではこの代表的な2方式を理解しておけば、製品選定の判断材料としては十分です。

出典・参考資料（1件）

• 出典：侵入検知および侵入防止システム（IDPS）に関するガイド（NIST SP 800-94）｜独立行政法人情報処理推進機構（IPA）翻訳監修版（PDF）

IDSの配置場所とファイアウォール・WAFとの役割分担

ここからは、IDSをネットワークのどこに置くのか、そしてファイアウォールやWAFとどう役割を分担するのかを整理します。

どこに設置するか（ファイアウォールの内・外、ミラーポート）

ネットワーク型IDSは、実際の通信のコピーを受け取って監視する「パッシブ（受動型）」の配置が基本です。通信そのものはIDSを通過しないため、IDSが止まっても通信の流れには影響しません。通信のコピーを取り出す代表的な方法が、スイッチのミラーポート（スパニングポート／SPAN）や、ネットワークタップ（TAP）です。

設置する場所は、何を監視したいかで変わります。ファイアウォールの外側に置けば外部から届く攻撃の試みを広く観測でき、内側に置けばファイアウォールを通過した後の通信や社内で発生する不審な通信を監視できます。一方、通信を遮断するIPSは、通信が必ず通過する経路上（インライン）に設置します。自社構成でどの通信を見張りたいかを起点に、センサーの置き場所を決めるとよいでしょう。

ファイアウォール・WAFとの役割分担

IDS/IPSは、ファイアウォールやWAFと守備範囲が異なります。それぞれの役割を切り分けておくと、導入の重複や抜けを防げます。

• ファイアウォール：ネットワークの境界で、あらかじめ定めたルールにもとづき通信を通す・止めるを判断します。
• IDS/IPS：ファイアウォールを通過した通信も含めて監視し、攻撃の兆候や異常な通信を検知（IPSは遮断）します。
• WAF（Web Application Firewall）：Webアプリケーションを狙う攻撃に特化して防御します。

ファイアウォールが「入口の通行管理」、IDS/IPSが「通過後の通信の見張り」、WAFが「Webアプリ専用の守り」と考えると、役割の違いが整理しやすくなります。これらは置き換えるものではなく、組み合わせて使うのが前提です。

IDS/IPSで検知できる攻撃・できない攻撃（攻撃タイプ別の検知可否）

ここでは、IDS/IPSが検知できる攻撃と、ほかの対策が必要な攻撃を一覧で整理します。何を守れて何を守れないかを把握しておくと、過不足のない対策を組めます。

攻撃の種類	IDS/IPSでの検知	補足
DoS・DDoS攻撃	検知できる	通信量の異常として検知。ただし大量の通信はIDS自身の処理を圧迫することがある
SYNフラッド攻撃	検知できる	トランスポート層の攻撃として検知
ポートスキャン（偵察）	検知できる	侵入前の下調べの兆候として検知
バッファオーバーフロー攻撃	検知できる	アプリケーション層の攻撃として検知
IPアドレスのなりすまし	検知できる	ネットワーク層の異常として検知
Webアプリ特有の攻撃（SQLインジェクション・XSSなど）	WAFの併用が適切	IDS/IPSもアプリ層をある程度解析するが、Webアプリの脆弱性を突く攻撃はWAFが専門に守る領域
暗号化された通信内の攻撃	ネットワーク型では中身を検査できない	復号後を監視できる位置に置くか、ホスト型の併用が必要

この表の「検知できる」は、その攻撃が検知の対象になるという意味です。実際に検知できるかどうかは、製品に登録されたシグネチャの範囲や検知方式（シグネチャ型・アノマリ型）、自社環境へのチューニングによって変わります。とくにシグネチャ型は既知の手口ほどとらえやすい一方、未知の亜種は見逃すことがあるため、表はあくまで検知の対象範囲の目安として捉えてください。

NISTのガイドラインは、ネットワーク型IDSがよく検知するイベントとして、バッファオーバーフローなどのアプリケーション層の攻撃、ポートスキャンやSYNフラッドなどのトランスポート層の攻撃、IPアドレスのなりすましといったネットワーク層の攻撃を挙げています。

一方で、Webアプリケーションの脆弱性を突く攻撃はWAFが専門に守る領域で、暗号化された通信の中身はネットワーク型では検査できません。IDS/IPSで広く監視しつつ、守備範囲の外はWAFやホスト型で補う発想が重要です。

出典・参考資料（1件）

• 出典：侵入検知および侵入防止システム（IDPS）に関するガイド（NIST SP 800-94）｜独立行政法人情報処理推進機構（IPA）翻訳監修版（PDF）

IDS・IPSの限界と導入時の注意点

IDS・IPSは万能ではありません。導入前に限界を把握しておくと、「入れたのに守れていなかった」という事態を避けられます。ここでは代表的な注意点を整理します。

誤検知と運用負荷（チューニングやアラート対応の手間）

IDS・IPSは、正常な通信を攻撃と誤って判断する誤検知（フォールスポジティブ）が起こります。NISTのガイドラインも、ネットワーク型IDSの正確さに共通する問題として、監視対象の環境に合わせたチューニングやカスタマイズに大きな手間がかかると指摘しています。

誤検知が多いとアラートが大量に出て、本当に対応すべき警告が埋もれてしまいます。運用では、通信環境に合わせてルールを調整し、対応が必要なアラートに絞り込む作業が欠かせません。自社だけで運用し切れない場合は、監視・対応を専門チーム（SOCやMDRなどの外部サービス）に任せる選択肢もあります。

MDRのように監視・対応を外部へ委ねるサービスは、代行してもらえる範囲や課金の単位、24時間監視の中身が各社で異なります。自社だけでアラート対応まで回し切れそうにない場合は、以下の記事で主要なサービスを代行範囲ごとに整理しています。

暗号化された通信は中身が見えない

ネットワーク型IDSの原理的な盲点が、暗号化された通信です。NISTのガイドラインは、ネットワーク型IDSは暗号化された通信に含まれる攻撃を検出できないと明記しています。TLSなどで暗号化された通信が増えている現在、ネットワーク型だけでは見えない範囲が広がります。対策としては、通信を復号した後を監視できる位置にセンサーを置くか、端末側で復号後の活動を監視できるホスト型を併用します。

単体では攻撃を止められない（多層防御の必要性）

IDSは「検知」の仕組みであり、それ自体は攻撃を止めません。遮断にはIPSやファイアウォールが必要で、守りを固めるには複数の仕組みを組み合わせる多層防御が前提になります。NISTのガイドラインも、堅牢なソリューションにはネットワーク型とホスト型の組み合わせが必須であり、ファイアウォールなど他の対策との連携も重要だと述べています。

IDS回避の手口（検知をかいくぐる攻撃側のテクニック）

攻撃側も、IDSに検知されないよう工夫します。NISTのガイドラインは、攻撃の効果はそのままに見かけを変えて検知を逃れようとする「回避」テクニックの存在に触れています。たとえばパケットを細かく分割して攻撃パターンの照合をすり抜けたり、大量の通信でIDSの処理を過負荷に陥らせて解析しきれない状態を作ったりする手口があります。

IDSを導入しても、検知を過信せず、ほかの対策と組み合わせておくことが大切です。

出典・参考資料（1件）

• 出典：侵入検知および侵入防止システム（IDPS）に関するガイド（NIST SP 800-94）｜独立行政法人情報処理推進機構（IPA）翻訳監修版（PDF）

IDS・IPSからNDRへ（未知の侵入・内部の不審な通信を捉える）

ここまで見てきたIDS・IPSの限界、とくに未知の攻撃や内部に入り込んだ後の不審な通信をどう捉えるかという課題に応えるのが、NDR（Network Detection and Response）です。

NDRは、ネットワークを流れる通信の「振る舞い」やフローを分析し、既知のパターンに頼らずに、普段と異なる通信や内部での不審な動きを見つけ出す仕組みです。この考え方は、NISTのガイドラインが挙げるネットワーク挙動解析（NBA：Network Behavior Analysis）の系譜に連なるものと整理できます。

NBAは、通常と異なるトラフィックの流れ（DDoS攻撃やマルウェアの通信、ポリシー違反の通信など）を識別する仕組みとして位置づけられています。NDRという呼び名自体は後年に広まった製品カテゴリの名称で、公的機関がそのまま定義した用語ではありませんが、通信の振る舞いから脅威を捉えるという技術思想はこのNBAに連なります。

出典・参考資料（1件）

• 出典：侵入検知および侵入防止システム（IDPS）に関するガイド（NIST SP 800-94）｜独立行政法人情報処理推進機構（IPA）翻訳監修版（PDF）

シグネチャに頼るIDSが未知の攻撃を見逃しやすいのに対し、NDRは通信の振る舞いから異常を捉えるため、侵入後に社内を横に広がっていく通信（ラテラルムーブメント）や、まだ知られていない脅威への気づきを得やすいのが特徴です。

製品によっては通信を広く記録して事後の調査（フォレンジック）に使えるものもあり、IDS/IPSが見逃しやすい領域を補完する仕組みです。次章では、こうしたネットワークの侵入検知を強化するサービスを具体的に見ていきます。

侵入検知を強化するサービスの比較と選び方

ここからは、ネットワークの侵入検知を強化するサービスを紹介します。通信の振る舞いから未知の侵入や内部の不審な通信を捉えるNDR型の製品を中心に、ネットワーク型の不正接続検知まで、検知レイヤーがネットワークに位置するサービスを取り上げます。まずは主要サービスの比較表で全体像をつかんでください。

ここで取り上げるのは、IDS/IPSの弱点だった「未知の攻撃」や「内部に入り込んだ後の不審な通信」を、通信の振る舞いから捉えるNDR型が中心です。IDS/IPS製品そのものを検知方式や設置形態で比べたい場合は、このあとの関連記事で整理しています。

選び分けの目安は、上の表の「検知のアプローチ」です。通信を全量記録して事後調査まで重視するならフルパケットキャプチャ型、AIが平常との違いを学習して自律的に対応するタイプなら自己学習型AIのNDR、通信の中身ではなく「つながる端末」を管理して不正接続を断つなら不正接続検知型が向きます。自社の優先に合うタイプは、上の比較表で見比べてください。

1. Network Blackbox（株式会社クワッドマイナージャパン）

Network Blackboxは、ネットワークを流れる全パケットをキャプチャして保存・分析する、フルパケットキャプチャを基盤とするNDRプラットフォームです。公式サイトでも自社をNDRプラットフォームと位置づけ、通信を損失なく保存して検知と事後調査の両方に対応できる点を特徴としています。

検知は、既知の攻撃を照合するシグネチャベースの検知に加え、ユーザーの行為パターンから異常を見つける方式や、送受信データの内容を復元して分析する方式を組み合わせます。通信を全量保存するため、外部からの侵入だけでなく、内部の不審な通信やデータの持ち出し、侵入後の調査（フォレンジック）に対応領域を持ちます。

EDRやSIEMとはSyslog・REST API経由で連携する設計で、既存のセキュリティ基盤を置き換えるのではなく補完する位置づけです。

2. Darktrace（ダークトレース・ジャパン株式会社）

英国発のDarktraceが強みとするのは、組織のネットワークにおける「平常の振る舞い」を自己学習するAIです。あらかじめ定めたパターンに頼らず、各機器や利用者の通常の通信を学習したうえで、そこから逸脱した動きを異常として捉え、既知・未知を問わず脅威を検知します。

NDRの中核となる製品ラインはネットワークの挙動分析を起点としており、第三者評価であるGartner Magic Quadrant for NDRでは2年連続（2026年版）でリーダーに位置づけられています。全世界で約10,000社、日本国内でも240社を超える導入実績があり（いずれも公式・2026年時点の公表値）、未知の脅威や内部での不審な動きを捉えたい企業に向いています。

出典・参考資料（1件）

• 出典：Darktrace Named a Leader in the 2026 Gartner Magic Quadrant for Network Detection and Response for Second Consecutive Year｜Darktrace（プレスリリース）

3. L2Blocker（エクスジェン・ネットワークス株式会社）

エクスジェン・ネットワークスが提供するL2Blockerは、通信の中身ではなく「ネットワークにつながる端末」の管理に特化した製品です。社内ネットワークに接続された端末を把握し、許可していない不正な端末の接続を検知・遮断します。通信の内容から攻撃を見つけるNDRとは異なり、「誰が・どの端末でつないでいるか」を管理するアプローチをとります。

導入企業数は2,000社以上、出荷台数は23,000台以上とされ（いずれも公式サイト掲載値）、持ち込み端末や野良デバイスによる侵入経路を断ちたい企業に向いています。NDRが「流れる通信の中身から侵入を見つける」のに対し、L2Blockerは「ネットワークにつながる端末そのものを管理する」役割で、両者は補完的に使えます。

4. Vectra AI（Vectra AI, Inc.／国内代理店: マクニカ株式会社）

攻撃者の実際の振る舞いから学習したAIで脅威を検知するのが、AI駆動型NDRのVectra AIです。検知エンジン「Attack Signal Intelligence」は、200以上のAIモデルで通信の振る舞いを分析し、大量のアラートの中から「いま侵害が起きている箇所」を優先度づけして絞り込むことを狙います。

グローバルで2,000社を超える導入実績があり（2026年時点の公式公表値）、国内ではマクニカ株式会社が販売・サポートを担います。アラートの量に運用が追いつかない、侵入後の攻撃の進行を早く捉えたい、といった課題を持つ企業に向いたサービスです。

ここで取り上げたのは、通信の振る舞いを分析するNDRやネットワーク型の製品が中心です。検知方式や設置形態、誤検知への対策といった観点からIDS/IPS製品そのものを比べたい場合は、以下の記事で主要な製品を整理しています。

まとめ

ネットワークへの侵入検知は、通信を監視して攻撃の兆候を見つけるIDSを基本に、遮断まで行うIPS、そして未知の侵入や内部の不審な通信を振る舞いから捉えるNDRまで、複数の選択肢があります。IDSには、監視対象で分かれるネットワーク型（NIDS）とホスト型（HIDS）、検知方法で分かれるシグネチャ型とアノマリ型があり、それぞれ得意な領域と見逃しやすい領域が異なります。

IDS/IPSは暗号化通信や未知の攻撃に弱く、単体では攻撃を止められないため、ファイアウォール・WAF・ホスト型・NDRなどと組み合わせる多層防御が前提です。自社のネットワーク構成と守りたい対象を起点に、まずどこを監視するか、どの仕組みで補うかを整理することが、過不足のない対策への第一歩になります。具体的な製品の機能や料金を比べたい場合は、各サービスの資料を取り寄せて検討を進めてください。

不正アクセスを検知する仕組みは、ここで扱ったネットワーク型の侵入検知のほかにも、認証やエンドポイントなど複数のタイプがあります。自社に何を導入すべきかをタイプ別に見比べて検討したい場合は、以下の記事で選び方と主要サービスを解説しています。

よくあるご質問（FAQ）

Q. IDS（侵入検知システム）とは何ですか？

A. IDS（侵入検知システム）とは、ネットワークを流れる通信を監視し、攻撃や不正アクセスの兆候を見つけて管理者に知らせる仕組みです。ファイアウォールが通信の入口で通す・止めるを判断するのに対し、IDSは入口を通過した後の通信まで見張り、侵入の兆候に気づく役割を担います。検知だけを行うのがIDSで、検知に加えて通信の遮断まで行う仕組みはIPS（侵入防止システム）と呼ばれます。

Q. IDSとIPSは、どちらを導入すべきですか？

A. IDSとIPSのどちらを選ぶかは、誤検知で正規の通信まで止まる影響を許容できるかで決まります。IPSは通信経路上に置いて不正な通信を自動で遮断できる一方、誤検知が起きると業務に必要な通信まで止めてしまうおそれがあります。まず侵入の状況を把握したい段階ならIDS、検知した攻撃を自動で止めたいならIPSが向きます。

近年は両機能を1製品に統合し、検知だけで使うか遮断まで有効にするかを設定で切り替えられる製品（IDPS）も一般的です。

Q. IDSだけでネットワークのセキュリティ対策は十分ですか？

A. IDS単体では攻撃を検知できても止められないため、これだけでネットワークのセキュリティ対策を完結させるのは不十分です。IDSは「検知」の仕組みで、遮断にはIPSやファイアウォールが必要です。さらに暗号化された通信の中身や未知の攻撃には弱点があるため、ファイアウォール・WAF・ホスト型IDS・NDRなどと組み合わせる多層防御が前提になります。

Q. IDSとWAFは、どちらを優先して導入すべきですか？

A. IDSとWAFの優先順位は、守りたい対象がネットワーク全体か、Webアプリケーションかで決まります。IDS/IPSはネットワークを広く監視して侵入の兆候をとらえる仕組みで、WAFはSQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーション特有の攻撃に特化して守ります。

公開Webサービスの防御が主目的ならWAF、社内ネットワーク全体の監視が主目的ならIDS/IPSを優先し、本来は両者を組み合わせて守備範囲の抜けをなくすのが理想です。

Q. IDSの誤検知が多い場合は、どう対応すればよいですか？

A. IDSの誤検知への対応は、自社の通信環境に合わせてルールを調整（チューニング）し、対応が必要なアラートに絞り込むことが基本です。とくに正常時との違いで判断するアノマリ型は誤検知（フォールスポジティブ）が多くなりがちで、導入後のチューニングが前提になります。アラートの監視・対応を自社だけで回し切れない場合は、SOCやMDRといった監視・対応の専門サービスに任せる選択肢もあります。

Q. NDRとIDS/IPSは何が違いますか？

A. NDRとIDS/IPSの違いは、既知のパターン照合が中心のIDS/IPSに対し、NDRは通信の「振る舞い」を分析して未知の侵入や内部の不審な通信まで捉える点にあります。

シグネチャ型のIDSはパターンの登録がない未知の攻撃を見逃しやすいのに対し、NDR（Network Detection and Response）は通常の通信から逸脱した動きを検知するため、侵入後に社内を横へ広がる通信（ラテラルムーブメント）やゼロデイ攻撃への気づきを得やすいのが特徴です。

通信を広く記録して事後調査（フォレンジック）に使える製品もあり、IDS/IPSが見逃しやすい領域を補完する位置づけです。

Q. 暗号化された通信（TLSなど）の中身も、IDSで検知できますか？

A. ネットワーク型IDSでは、暗号化された通信の中身を検査できません。TLSなどで暗号化された通信が増えている現在、ネットワーク型だけでは見えない範囲が広がります。対策としては、通信を復号した後を監視できる位置にセンサーを置くか、端末側で復号後の活動を監視できるホスト型IDS（HIDS）を併用します。

Q. クラウド環境（AWSなどのIaaS）でもネットワークの侵入検知はできますか？

A. クラウド環境でもネットワークの侵入検知は可能です。オンプレミスのようにスイッチのミラーポートやタップで通信のコピーを取り出せない代わりに、クラウド側が提供する通信のミラーリング機能（仮想ネットワーク上を流れる通信を複製して分析に回す仕組み）などを使って監視します。

本記事で紹介したNDR製品にはクラウド環境の通信監視に対応するものもあるため、オンプレミスとクラウドをまたいで監視したい場合は、対応範囲を各製品の資料で確認するとよいでしょう。

ネットワーク侵入検知・NDRの料金・資料を一括チェック

MCB FinTechカタログでは、NDRやネットワーク型の侵入検知サービスの最新資料を無料で一括請求できます。検知の仕組み・対応範囲・連携先を見比べて、自社のネットワークに合うサービスを選べます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。