侵入検知システム（IDS）

（特 徴）

【ネットワーク型IDS】
ネットワークに流れるすべてのIP パケットを検査するため、IP パケットを取りこぼさないようにする必要があ
る。
ネットワーク上を流れるパケットを監視し、シグネチャ（不正アクセスに見られる特徴的なパターン）とリアル
タイムでパターンマッチングをして、不正と見なされるパケットを検出する。

長 所：監視対象のシステムに負荷を与えずに、どのようなOS でも監視できる
短 所：通信内容が暗号化されている場合は解析できない（SSL 通信上で行われた不正アクセスは検知できない）

最新のシグネチャを登録しておくことが重要。


・ シグネチャ型
不正侵入を行うような攻撃のパターンをDB に登録しておき、IP パケット内の不正なビット列などを検出し、
シグネチャと比較して一致すれば不正なパケットであると判断する方法

・ アノマリ型
補足したIP パケットの内容を調べて、正常なもの以外はすべて異常であると見なして警告を出すようにする
もの。


① 　ステルス機能
IP パケットを捕捉するポートには、IP アドレスを割り当てないステルスモードで運用し、攻撃者にIDS の
存在を知らせないようにする。

② 　プロミスキャスモード
ネットワークセグメントを流れるトラフィックをすべて受信するため、NIC の設定をプロミスキャスモード
とする。

③　 ミラーポート機能
すべてのパケットを監視対象とするため、通常のポートに送られたすべてのデータ特定のポートにコピーし
て送信するミラーポートを利用する。

不正通信を検知した場合、
・ 管理者への通知
・ TCP 通信の場合、RST パケットの送信による通信の強制切断
・ FW などとの連携による動的アクセス制御
などを行う



【ホスト型IDS】
監視する必要のあるホストにインストールして、ホストの通信状況や内部ファイル構成の変更などを検査して不正を検出する。
OS やアプリケーションのログを常時監視する。
データの整合性を最良状態のときに検証し、基準DB とすることで不正な書き換えを検知する。
通常は、ハッシュ値を利用して、改変の有無などをチェックする。
　
長 所：トラフィックが多くても取りこぼしが発生しない
短 所：侵入検知システムがインストールされたシステム以外は、攻撃を検知することができない。 また、ロ
グに痕跡の残らない攻撃（バッファオーバーフロー攻撃など）は、検知することができない。
不正侵入を検知した場合の運用管理体制を事前に規定しておくことが重要。

不正通信を検知した場合、
・ 管理者への通知
・ Kill コマンドの発行による停止などを行う


※ フォールスポジティブ ：正常な通信であるが、不正侵入として誤検知すること
※ フォールスネガティブ ：本来検知すべき不正侵入を見過ごしてしまうエラー