Webサイトやサーバを守るセキュリティ製品には、ファイアウォール・IDS・IPS・WAFといった名前が並びます。いずれも「不正な通信を防ぐ」点は同じに見えますが、実際に守っている層や防げる攻撃はそれぞれ異なります。
名前は知っていても、「何がどう違うのか」「自社にはどれが必要で、すべて導入すべきなのか」までは判断しづらいという声は少なくありません。守る範囲が重なっているのか、それとも補い合う関係なのかが見えないと、次の一手を決められません。
本記事では、WAF・IDS・IPS・ファイアウォールが守る層と防げる攻撃の違いを一覧で整理し、検知方式や設置形態といった仕組み、そして自社の構成に合わせた選び方までを解説します。守る層ごとに選べる代表的なサービスも紹介するため、自社が次に検討すべき対策が見えてきます。
目次
一括ダウンロードする
【早わかり】WAF・IDS・IPS・ファイアウォールの違い
ここからは、4つの製品がそれぞれ何を守るのかを確認します。最初に全体像を押さえておくと、個々の違いも理解しやすくなります。4製品は守る層が異なり、それぞれ防げる攻撃や、検知までか遮断までかという動作も変わります。
| WAF・IDS・IPS・ファイアウォールの違い | ファイアウォール（FW） | IDS（不正侵入検知システム） | IPS（不正侵入防御システム） | WAF（Webアプリケーションファイアウォール） |
|---|---|---|---|---|
| 守る層 | ネットワークの境界（IPアドレス・ポート番号） | ネットワーク・サーバ（OS・ミドルウェア） | ネットワーク・サーバ（OS・ミドルウェア） | Webアプリケーション（通信の中身） |
| 主に対象とする脅威 | 許可していない通信・不要なアクセス | OS・ソフトの脆弱性を突く攻撃 | OS・ソフトの脆弱性を突く攻撃 | SQLインジェクションなどWebアプリを狙う攻撃 |
| 検知か遮断か | 遮断 | 検知・通知のみ | 検知・遮断 | 検知・遮断 |
| 設置の位置 | 社内ネットワークとインターネットの境界 | 通信を複製して監視（ミラー） | 通信の経路上（インライン） | Webサーバの前段 |
※上記は各製品の一般的な役割の傾向です。製品ごとに対応範囲は異なるため、詳細は各社情報をご確認ください。
4製品それぞれの役割（一言で）
ファイアウォール（FW）は、通信の送信元・送信先のIPアドレスやポート番号をもとに、許可していない通信を入口で遮断する製品です。ネットワークの境界に立つ「関所」のような役割を担い、不要な通信を社内に入れないようにします。
IDS（不正侵入検知システム）とIPS（不正侵入防御システム）は、通信の中身を検査し、OSやミドルウェア（OSとアプリケーションの間で動く基盤ソフト）の脆弱性を突く攻撃などを見つけます。IDSは検知して管理者に知らせるところまで、IPSはさらに通信の遮断まで行う点が異なります。
WAF（Webアプリケーションファイアウォール）は、Webサーバの前段に置き、Webアプリケーションへの攻撃を防ぐ製品です。独立行政法人情報処理推進機構（IPA）は、WAFを次のように説明しています。
WAF は、ウェブアプリケーションの脆弱性を悪用した攻撃などからウェブアプリケーションを保護するソフトウェア、またはハードウェアです。
出典：Web Application Firewall（WAF）読本 改訂第2版｜独立行政法人情報処理推進機構（IPA）
ファイアウォールが通信の「宛先」を見るのに対し、WAFは通信の「中身」を検査してWebアプリケーションを狙う攻撃を見分けます。守る層が根本的に異なる点が、両者の大きな違いです。
出典・参考資料（1件）
代表的な攻撃と、どの製品が防ぐか
防げる攻撃が製品ごとに違うのは、検査している層が違うためです。守る対象を攻撃の種類から整理すると、自社に必要な製品が見えてきます。
WAFが得意とするのは、Webアプリケーションの脆弱性を突く攻撃です。代表的なものに、入力値を悪用してデータベースを不正操作するSQLインジェクションや、閲覧者のブラウザ上で不正なスクリプトを実行させるクロスサイトスクリプティング（XSS）があります。
ほかにも、Webサーバのコマンドを不正に実行するOSコマンドインジェクションや、サーバ内のファイルを不正に読み出すディレクトリトラバーサルなどが挙げられます。
一方、IPS・IDSが対象とするのは、ネットワークやサーバ基盤を狙う攻撃です。具体的には、OSやミドルウェアの脆弱性を突く攻撃や、確保したメモリ領域を超えて不正なコードを実行させるバッファオーバーフローが挙げられます。大量の通信を送りつけてサービスを妨害するDoS／DDoS攻撃も対象です。
なお、ファイアウォールはこうした攻撃の中身までは検査せず、通信の可否を入口で判断します。守る層が違うため、防げる攻撃も自然と変わってきます。
出典・参考資料（3件）
IDSとIPSの違い（検知だけか、遮断までするか）
IDSとIPSは、通信を検査して不正を見つける仕組みはほぼ同じです。違いは、不正を見つけた後の動作にあります。
IDSは不正な通信を検知して管理者に通知するところまでを担い、通信そのものは止めません。IPSは、検知に加えてその通信を遮断します。侵入検知・防御システムの国際的なガイドラインであるNIST SP 800-94でも、IPSはIDSの機能をすべて備えた上で、起きようとしているインシデントを止めようとするものと定義されています。
遮断まで行うIPSは攻撃を即座に止められる一方、正常な通信を誤って止めてしまう可能性もあります。サービスを止めない状態（可用性）を重視する場合は、この誤遮断のリスクも踏まえ、検知モードで運用を始めて誤検知を調整してから遮断に切り替える、といった進め方が検討されます。
出典・参考資料（1件）
検知方式と設置形態（仕組みの補足）
ここからは、IDS・IPSがどのように不正を見つけ、どこに設置されるのかという仕組みを補足します。製品を比較する際に、各製品の仕様や資料に出てくる用語を理解しておくと選びやすくなります。
シグネチャ型とアノマリ型（既知・未知の攻撃への強弱）
検知の方式は、大きく2つに分かれます。シグネチャ型は、既知の攻撃パターン（シグネチャ）と通信を照合して不正を見つける方式です。NIST SP 800-94は、シグネチャ型を既知の脅威の検知には非常に有効だが、未知の脅威や検知回避の手口、既知攻撃の多数の亜種の検知には概して効果が低いと説明しています。
アノマリ型は、正常な状態を基準として定義し、そこから大きく外れた通信を異常として検知する方式です。同ガイドラインは、アノマリ型の利点を未知の脅威の検知に非常に有効な点に置く一方、正常な活動でも基準から外れると誤検知（false positive）が多く発生しやすいと述べています。多くの製品は、両方式を組み合わせて精度を高めています。
ネットワーク型とホスト型（インライン・ミラーの違い）
設置形態にも種類があります。ネットワーク型は、特定のネットワークセグメントや機器を流れる通信を監視し、ネットワークやアプリケーションの通信内容から不審な動きを見つけます。ファイアウォールやルーターの近く、ネットワークの境界に置かれるのが一般的です。
ホスト型は、1台のサーバなどホスト内部の動きを監視し、そのホストで起きる不審な事象を見つけます。公開サーバや機密情報を扱うサーバなど、重要なホストに導入されることが多い形態です。
また、通信の経路上に直接置いて遮断まで行う「インライン型」と、通信を複製して監視だけ行う「ミラー（パッシブ）型」という置き方の違いもあります。遮断するIPSは経路上に、検知のみのIDSは複製監視で導入されることが多く、この違いがそのまま検知・遮断の役割分担につながっています。
出典・参考資料（1件）
こうした検知方式や設置形態を踏まえて、IDS/IPS製品そのものを比べて選びたい場合は、以下の記事で代表的な製品を検知方式・誤検知対策・設置形態の観点から整理しています。
IDS/IPS製品おすすめ19選を比較｜検知方式・誤検知対策・設置形態から選び方を解説
ファイアウォールもアンチウイルスも入れているのに、社内ネットワークに入り込む攻撃を止めきれているか自信が持てない。そんな状態から侵入検知の仕組みを探し始めると、最初にぶつかるのが「IDSとIPS、自社はどちらを入れるべきか」という問いではな…
自社にはどれが必要か｜多層防御の考え方と当てはめ方
なぜ1製品では守りきれないのか（守る層の違い）
ここまで見てきたとおり、各製品が守る層は異なります。そのため、どれか1つを導入すれば万全、というわけにはいきません。たとえばファイアウォールについて、IPAは次のように指摘しています。
しかし、企業や組織が運営するウェブサイトはインターネットに公開するため、FW でアクセスを制限するわけにはいきません。このため、FW でウェブアプリケーションの脆弱性を悪用する攻撃を防ぐことはできません
出典：Web Application Firewall（WAF）読本 改訂第2版｜独立行政法人情報処理推進機構（IPA）
ファイアウォールは通信の入口を守りますが、公開しているWebサイトへの攻撃までは防げません。IPSは様々な種類の攻撃を、WAFはWebアプリケーションへの攻撃を、というように守備範囲が分かれています。守る層が違うため、複数を組み合わせて隙をなくす「多層防御」の考え方が基本になります。
出典・参考資料（1件）
もっとも、複数の層をそろえればそれで安心というわけでもありません。セキュリティ対策を提供する現場からは、導入済みの対策をすり抜ける攻撃が増えているという声もあります。
すでに対策をされている企業の場合は、UTM(ファイアウォール機能付きルーター)やアンチウイルスソフト、EDR、NDRなどが導入されています。ただ、それらが適切に機能しているかどうかは、やはりチェックしたくなるものです。すり抜けてきたウイルスの被害や、ファイアウォールが無効化されてエンドポイントに攻撃が届くような事例も増えていますので、現状の対策がどの程度機能しているかを客観的に診断したい、というニーズが多いです。
入口の対策をそろえても、攻撃がすり抜けることはあります。そのため、境界を守るファイアウォールやIPSに加えて、端末を守るEDR（エンドポイントでの検知・対応）や、社内ネットワークを流れる通信を監視して侵入後の不審な動きを捉えるNDR（ネットワークの検知・対応）といった、内側を補う層も検討されます。守る層をどう重ねるかは、次の連携イメージで整理します。
ファイアウォール・IPS／IDS・WAFの連携イメージ
多層防御は、守る層の異なる製品を順に重ねることで成り立ちます。インターネットからの通信は、まずファイアウォールで不要な通信が遮断されます。通過した通信は、IPS／IDSでOSやミドルウェアを狙う攻撃がないか検査されます。そしてWebサイトに向かう通信は、WAFでWebアプリケーションへの攻撃が遮断されます。
このように入口から順に異なる層で検査することで、1つの製品をすり抜けた攻撃を次の製品で止められる状態をつくります。どれか1つが欠けると、その層を狙う攻撃に対して無防備になる、という関係です。
自社構成からの当てはめ方
すべてを一度にそろえる必要はありません。自社が何を公開し、何を守りたいのかを起点に、必要な層から検討すると判断しやすくなります。
- 公開しているWebサイト・Webサービスがある場合は、WAFを検討する（SQLインジェクションなどWebアプリへの攻撃に備える）
- 社内のサーバ・ネットワーク・OSを守りたい場合は、IPS／IDS、またはIPSを含むUTM（統合脅威管理）を検討する
- 通信の入口で不要なアクセスを遮断する土台として、ファイアウォールを用意する（多くの環境で基本となる）
- 社内ネットワーク全体を流れる通信の不審な動きを可視化・調査したい場合は、NDR（ネットワークの検知・対応）を検討する
専任の担当者を置きにくい場合は、ファイアウォールやIPSなどを1台にまとめたUTMから始めると、導入と運用の負担を抑えながら複数の層をカバーできます。自社の体制や予算に合わせて、優先度の高い層から段階的に広げていくとよいでしょう。
一括ダウンロードする
守る層ごとに選べるセキュリティソリューション
ここからは、守る層ごとに、その層を実装できる代表的なサービスを紹介します。自社に必要な層が見えてきたら、該当するサービスの資料を取り寄せて比較すると、具体的な検討に進めます。
社内のネットワーク全体を監視するならNDR、ネットワークの境界で複数の対策をまとめて行うならIPSを含むUTM、公開Webサイトを守るならWAF、というように、守りたい層に応じて選べます。
ネットワークやサーバを狙う攻撃に備えるIPSは、多くの場合こうしたUTMに含まれる形で導入できます。IPS単体の製品を細かく比べたい場合は、検知方式の節で紹介したIDS/IPS製品の比較記事もあわせてご覧ください。
| サービス名 | Network Blackbox | Eye「247」Safety Zone USAV Ⅵ | 攻撃遮断くん |
|---|---|---|---|
| 製品の種類 | NDR（ネットワークの検知・対応） | UTM統合パッケージ（FW・IPS内包） | クラウド型WAF |
| 守る層 | 社内ネットワーク （内部を流れる通信全体） | ネットワークの境界＋端末＋人 | Webアプリケーション （公開Webサイト） |
| 主に守る対象 | 内部に入り込んだ不審な通信の検知と、保存した通信をさかのぼる事後調査（フォレンジック） | 入口での遮断とOS・ミドルウェアを狙う攻撃の防御（UTM）に、端末対策と標的型攻撃メール訓練を追加 | SQLインジェクション・XSS・ディレクトリトラバーサルなど、Webアプリを狙う攻撃の遮断 |
| 提供形態 | 公表なし （ミラーリング方式で導入） | ハードウェア同梱の統合パッケージ（UTMアプライアンス＋ソフト） | クラウド（SaaS） |
| 料金目安 | 要お問い合わせ | 要お問い合わせ | 月額10,000円〜 （税抜・1サイトプラン・トラフィック連動。初期費用は別途） |
| 導入方式 | 通信を複製して監視するミラーリング方式。既存ネットワーク構成への影響を抑えやすい | UTMアプライアンス設置＋ソフト導入。クライアント数10〜200台を想定し、販売代理店経由で導入 | DNS切り替えで導入し最短1営業日（Web／DDoSタイプ）。サーバセキュリティタイプはエージェント導入 |
| 無料トライアル／デモ | デモ申請あり （無料トライアルは公表なし） | 公表なし | 公表なし |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式サイト |
1. Network Blackbox（株式会社クワッドマイナージャパン）
社内ネットワークを流れる通信を収集・分析して脅威を見つけるNDR（Network Detection and Response）製品が、株式会社クワッドマイナージャパンのNetwork Blackboxです。ネットワークの境界を守るファイアウォールやIPSに対し、内部に入り込んだ不審な通信まで可視化する点が特徴です。
ネットワークを流れるパケットを損失なく収集・保存し、既知の攻撃を照合するシグネチャベースの検知に加え、ユーザー行為ベースの検出やコンテンツ分析を組み合わせて脅威を見つけます。保存した通信を後から検索・再構成できるため、攻撃を検知した後に通信の宛先や時系列、やり取りされたファイルをさかのぼって調べるフォレンジック（事後調査）にも対応します。
ミラーリング方式で導入するため既存のネットワーク構成への影響を抑えやすく、EDR（端末の検知・対応）やSIEM（ログの統合管理）とSyslog・REST API経由で連携できます。ファイアウォールやIPSが境界を守り、Network Blackboxが社内ネットワークの内部を監視する、という役割分担が描けます。
2. Eye“247” Safety Zone USAV Ⅵ（株式会社フーバーブレイン）
株式会社フーバーブレインのEye“247” Safety Zone USAV Ⅵは、Check Point製のUTM（統合脅威管理）に、端末のセキュリティ対策や標的型攻撃メール訓練を組み合わせた、中小企業向けの統合パッケージです。ネットワーク・端末・人への対策を1つの契約でまとめて導入できる点が特徴です。
中核となるUTMには、ファイアウォール、IPS、アンチウイルス、URLフィルタリング、アプリケーションコントロールなどが内包されています。これにより、この記事で解説してきた「入口での遮断」と「OS・ミドルウェアを狙う攻撃の防御」を、1台の機器でまとめてカバーできます。
さらに、端末側の防御・検知（EPP／EDR）、USBメモリへのファイルコピー記録などの業務可視化、年2回の標的型攻撃メール訓練も含みます。専任のIT担当者を置きにくい企業が、複数の守る層を個別に契約せずに導入できる構成になっています。価格は構成に応じた個別見積のため、導入を検討する際は資料で確認するとよいでしょう。
3. 攻撃遮断くん（株式会社サイバーセキュリティクラウド）
株式会社サイバーセキュリティクラウドが提供する攻撃遮断くんは、Webサイトへの攻撃を防ぐクラウド型のWAFです。この記事で解説した「Webアプリケーション層を守る」役割を担うサービスにあたります。
DNSの切り替えで導入でき、Webサーバにソフトをインストールする必要がない方式のため、最短1営業日で利用を開始できます。SQLインジェクションやクロスサイトスクリプティング、ディレクトリトラバーサルなど、Webアプリケーションを狙う攻撃を遮断します。攻撃データをもとに専門家がシグネチャを作成・更新し、全プランで自動更新される点も特徴です。
料金は1サイトプランで月額10,000円（税抜、トラフィック連動）からで、公式サイトでは累計20,000サイト以上の導入が示されています。大量の通信でサービスを妨害するDDoS攻撃への対策に特化したタイプも用意されており、公開Webサイトの保護を小さく始めたい場合の選択肢になります。
ここで紹介したのは、守る層ごとの代表的なサービスの一例です。守る対象別のタイプや選び方、ほかのサービスも含めて社内セキュリティソリューション全体を比較しながら導入を検討したい場合は、以下の記事で詳しく解説しています。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
WAF・IDS・IPS・ファイアウォールは、いずれも不正な通信を防ぐ製品ですが、守る層が異なります。ファイアウォールは通信の入口を、IPS／IDSはOSやミドルウェアを狙う攻撃を、WAFはWebアプリケーションへの攻撃を、それぞれ担当します。IDSは検知・通知まで、IPSは遮断まで行う点が両者の違いです。
守る層が違うため、1つの製品ですべてを守ることはできません。自社が公開しているWebサイトの有無や、守りたい資産がネットワーク・サーバなのか、Webアプリケーションなのかを起点に、必要な層から組み合わせる多層防御の考え方で検討するのが現実的です。守る層が定まったら、該当するサービスの資料を比べて、自社に合う対策を選んでいきましょう。
一括ダウンロードする
よくある質問（FAQ）
Q. WAF・IDS・IPSの違いは何ですか？
A. WAF・IDS・IPSは、通信のどの層を検査して守るかが異なるセキュリティ製品です。WAFはWebアプリケーション層で、SQLインジェクションなど公開Webサイトを狙う攻撃を防ぎます。IDSとIPSはネットワークやOS・ミドルウェアの層で、脆弱性を突く攻撃などを扱います。さらに、IDSは検知して管理者に通知するところまで、IPSはその通信の遮断までを行う点が両者の違いです。
Q. IDSとIPSはどちらを選ぶべきですか？
A. IDSとIPSのどちらを選ぶかは、攻撃を自動で遮断したいか、まず検知・可視化を優先したいかで決まります。検知した不正な通信をその場で止めたいならIPS、サービスを止めない可用性を重視し誤遮断を避けたい場合はIDS（または検知モードで運用するIPS）が向きます。実務では、検知モードで誤検知を調整してから遮断に切り替える、といった進め方もよく検討されます。
Q. WAF・IDS・IPS・ファイアウォールは併用が必須ですか？
A. 守りたい資産が複数の層にまたがる場合は、併用（多層防御）が基本になります。各製品は守る層が異なり、どれか1つだけでは、その層以外を狙う攻撃に無防備になるためです。たとえばファイアウォールは通信の入口を守りますが、公開Webサイトへの攻撃までは防げません。一方、公開Webサービスを持たない環境ではすべてをそろえる必要はなく、守りたい資産に応じて必要な層から選べば十分です。
Q. ファイアウォールを入れていればWeb攻撃も防げますか？
A. ファイアウォールだけでは、Webアプリケーションを狙う攻撃は防げません。ファイアウォールは通信の送信元・送信先のIPアドレスやポート番号をもとに入口で通信の可否を判断する製品で、通信の中身までは検査しないためです。
公開しているWebサイトはインターネットに開く必要があるため、SQLインジェクションなどWebアプリへの攻撃にはWAF、OS・ミドルウェアを狙う攻撃にはIPS／IDSというように、守る層に応じた製品を組み合わせる必要があります。
Q. UTMを導入すればWAFは不要になりますか？
A. UTMを導入しても、WAFが不要になるとは限りません。UTMはファイアウォールやIPS、アンチウイルスなど、主にネットワーク層・OS層を守る機能を1台にまとめた製品で、Webアプリケーション層を守るWAFは一般に含まれないためです。公開しているWebサイト・Webサービスがある場合は、UTMとは別にWAFの導入を検討する必要があります。
Q. 中小企業はWAF・IDS・IPSのどれから始めるべきですか？
A. 専任の担当者を置きにくい場合は、ファイアウォールやIPSなどを1台にまとめたUTMから始めると、導入・運用の負担を抑えながら複数の層をカバーできます。そのうえで、公開しているWebサイト・Webサービスがあればクラウド型のWAFを加えるなど、自社の構成と予算に合わせて、優先度の高い層から段階的に広げていくのが現実的です。
Q. WAF・IDS・IPSをすべてそろえるとコストはどれくらいかかりますか？
A. 費用は製品の方式・守る規模・導入形態によって大きく異なり、一概には示せません。たとえばクラウド型のWAFには月額1万円程度から始められるものがある一方、IPSやファイアウォールは機器やライセンスの構成で費用が変わり、個別見積となる製品も少なくありません。
コストを抑えたい場合は、複数の層を1台にまとめるUTMを使う、優先度の高い層から段階的に導入する、といった進め方が有効です。正確な金額は、各サービスの資料や見積で確認してください。
セキュリティ対策の料金・資料を一括チェック
MCB FinTechカタログでは、IPSを含むUTMやNDRなど、社内のネットワーク・サーバを守るセキュリティソリューションの最新資料を無料で一括請求できます。守る層や対応範囲、費用を比べながら、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
