IDSとは？IPS・ファイアウォールとの違いを整理【基本情報技術者試験】

まず結論

IDSは、サーバやネットワークを監視し、侵入や攻撃の兆候を検知して管理者へ通知する仕組みです。

基本情報技術者試験では、IDS・IPS・ファイアウォールを次のように切り分けます。

用語	主な役割
IDS	侵入を検知して通知する
IPS	侵入を検知して遮断する
ファイアウォール	ルールに従って通信を許可・拒否する

試験では、次の一文を判断軸にします。

IDSは見つけて知らせる。IPSは見つけて止める。

直感的な説明

IDSは、建物の防犯センサーのようなものです。

不審な動きを見つけると、警備員や管理者へ知らせます。

不審な通信や動作を監視
↓
異常を検知
↓
管理者へ通知

一方、IPSは、防犯センサーに加えて自動ロック機能も備えたイメージです。

不審な通信を検知
↓
通信を遮断
↓
侵入を防止

ファイアウォールは、入口で入場ルールを確認する門番に近いです。

送信元IP
宛先IP
ポート番号
通信方向
↓
許可または拒否

定義・仕組み

IDSは、Intrusion Detection System の略で、日本語では侵入検知システムと呼ばれます。

名称を分解すると役割を思い出しやすくなります。

Intrusion
→ 侵入

Detection
→ 検知

System
→ システム

IDSは、ネットワーク上の通信やサーバ内部の動作を監視します。

例えば、次のような異常を検知します。

同じ接続元から大量のアクセスがある
通常とは異なる通信パターンがある
重要なファイルが不自然に変更された
不審なログインが繰り返されている

異常を検知した後は、ログへ記録したり、管理者へアラートを送ったりします。

監視
↓
異常を検知
↓
ログへ記録
↓
管理者へ通知

NIDS

NIDS（Network-based IDS）は、ネットワーク上を流れる通信を監視します。

ネットワーク全体の通信
↓
NIDSが監視
↓
不審な通信を検知

複数のサーバや端末へ向かう通信をまとめて監視できる点が特徴です。

HIDS

HIDS（Host-based IDS）は、サーバや端末に導入し、その機器内部を監視します。

主な監視対象は次のとおりです。

OSやアプリケーションのログ
重要ファイルの変更
プロセスの動作
ログイン状況

特定のサーバ内部
↓
HIDSが監視
↓
不審な変更や動作を検知

判断軸は次のとおりです。

通信を見るのがNIDS、1台の機器の中を見るのがHIDS。

シグネチャ型

既知の攻撃パターンと照合して検知する方式です。

通信や動作
↓
既知の攻撃パターンと比較
↓
一致すれば検知

既知の攻撃には強い一方、新しい攻撃を検知できないことがあります。

アノマリ型

通常時の通信や動作と比較し、大きく異なるものを異常として検知する方式です。

普段の状態
↓
今回の状態と比較
↓
大きな違いがあれば検知

未知の攻撃を検知できる可能性がありますが、正常な通信を攻撃と判断する誤検知が起きることもあります。

科目Aでどう出る？

科目Aでは、IDSの機能を説明した選択肢を選ぶ問題が出ます。

判断するときは、選択肢に含まれる動詞を確認します。

監視する・検知する・通知する
→ IDS

検知する・遮断する
→ IPS

通信ルールで許可・拒否する
→ ファイアウォール

異常なデータを大量に入力する
→ ファジング

最新版か確認する
→ バージョン管理・パッチ管理

典型的な切り分け

選択肢の表現	対応する用語
サーバやネットワークを監視し、侵入を検知して通知する	IDS
攻撃を検知し、通信を遮断する	IPS
IPアドレスやポート番号で通信を制御する	ファイアウォール
想定外のデータを大量に入力して脆弱性を探す	ファジング
組織のセキュリティ対策状況を自己診断する	セキュリティ対策ベンチマーク

どんな場面で使う？

ネットワークへの攻撃を監視する

NIDSをネットワーク上に配置し、複数の機器へ向かう通信を監視します。

外部ネットワーク
↓
NIDSで通信を監視
↓
社内サーバ・端末

不正アクセス、ポートスキャン、異常な通信量などを検知する目的で使われます。

サーバ内部の異常を監視する

HIDSをサーバへ導入し、ファイル改ざんや不審なプロセスを監視します。

重要ファイルの変更
不審なログイン
異常なプロセス
↓
HIDSが検知

他の対策と組み合わせる

IDSだけですべての攻撃を防ぐことはできません。

実務では、ファイアウォール、IPS、認証、ログ監視などと組み合わせます。

ファイアウォール
→ 通信を入口で制御

IDS
→ 通信や機器の異常を監視

IPS
→ 攻撃を検知して遮断

複数の対策を重ねることで、見逃しや被害を減らします。

よくある誤解・混同

IDSは攻撃を自動で止める？

IDSの基本的な役割は、検知と通知です。

IDS
→ 検知・通知

IPS
→ 検知・遮断

「通信を遮断する」「攻撃を阻止する」と書かれていれば、IPSの説明である可能性が高いです。

IDSとファイアウォールは同じ？

同じではありません。

ファイアウォールは、あらかじめ設定したルールに従って通信を許可・拒否します。

IDSは、通信や動作の内容を監視して異常を探します。

ファイアウォール
→ 通してよい通信かをルールで判断

IDS
→ 通った通信や機器の動作に異常がないか監視

ファイアウォールを通過した通信であっても、IDSが不審な動作を検知することがあります。

IDSは脆弱性を探すテストツール？

違います。

脆弱性を積極的に探すのは、脆弱性診断やファジングです。

異常な入力を与えて脆弱性を探す
→ ファジング

稼働中の通信や機器を監視する
→ IDS

NIDSとHIDSはどちらが優れている？

単純にどちらか一方が優れているわけではありません。

ネットワーク全体を広く見る
→ NIDS

特定の機器内部を詳しく見る
→ HIDS

監視対象が異なるため、必要に応じて使い分けます。

誤検知があるとIDSは役に立たない？

誤検知があるからといって、IDSが役に立たないわけではありません。

ただし、誤検知が多いと管理者が重要な警告を見落とす可能性があります。

そのため、検知ルールやしきい値を調整し、運用しながら精度を高めます。

まとめ（試験直前用）

監視・検知・通知がIDS
検知・遮断がIPS
通信ルールで許可・拒否するのがファイアウォール
ネットワーク通信を監視するのがNIDS
特定の機器内部を監視するのがHIDS

試験直前には、次の順で思い出します。

見つけて知らせる
→ IDS

見つけて止める
→ IPS

入口の通信ルールを確認する
→ ファイアウォール

IDSは見つけて知らせる。IPSは見つけて止める。

🔗 関連記事

🏠 基本情報技術者トップに戻る