侵入検知システム(IDS)と侵入阻止システム(IPS) (3)

侵入検知システム(IDS)と侵入阻止システム(IPS)

(続き)

侵入阻止システム(IPS: Intrusion Protection System)

　侵入阻止システム(IPS)は，IDSの機能に加えて，自動的にアクセスを遮断するものを指します．例えば，攻撃が行われていることを検知した場合，通知するだけでなく，その攻撃のアクセスを遮断します．

　IDSは，通知を受け取った人間が判断し，対応を行います．そのため，分単位での遅延が必ず発生し，対応を行ったときには既に守るべき情報は破壊されたり盗まれたりしている可能性があります．アクセスを遮断するなどの対応を自動的に速やかに行いたいという要望からIDSを基本として派生したものがIPS です．
IDSでも同じですが，IPSでも誤認・誤検知という問題が付きまといます．遮断すべきパターンを正しく検知し，正しく遮断できていればよいのですが，遮断すべきではないパターンを不正アクセスと判断して遮断してしまうことがあります．

「疑わしきは罰せず」というのが裁判の基本だそうですが，情報セキュリティの世界はそうはいきません．情報が漏れるなどの事故が起きてからでは遅いので，基本的には「疑わしきは遮断」となります．しかし，これが元で事業上の問題になる可能性があることも念頭に入れなければなりません．本来不正ではないアクセスなのに，その通信元を遮断するわけですから，通信元の人は被害者になります．オークションなどの場合には金銭問題が発生するかもしれません．また，ネットワークそのものに影響があると判断して，サービスそのものへのアクセスを遮断するような場合もあり，見た目上のサービス停止になる可能性もあります．

　一般にIPSにはテストモードと呼ばれるモードがあり，実際には遮断を行わずに，遮断などの動作を通知だけ行うことが出来ます．IPSを導入する場合には十分にテストを行って，運用を開始することが大切です．さらに，IPSは人間の関与を前提にすべきです．