IDS・IPSとSIEMとは？

IDS・IPSとSIEMの意味

IDS（侵入検知システム）は不正アクセスの兆候を検知して通知する仕組み、IPS（侵入防止システム）は検知に加えて自動的に遮断する仕組み。SIEM（Security Information and Event Management）は、ファイアウォールやIDS/IPSなど複数の機器のログを一元的に集約・相関分析し、脅威の兆候を早期に発見する仕組み。

IDS・IPSとSIEMの具体例

個々の機器のログでは見えにくい攻撃の兆候（複数の機器にまたがる不審なアクセスパターンなど）を、SIEMで横断的に分析することで早期発見につなげる。

IDS・IPSとSIEMは試験でどう引っ掛けられる？

IDSは検知して知らせるだけで遮断しない。自動的に遮断するのはIPSで、「防止」と名が付くほうが止める側と覚える。設置形態も、通信経路の外側でコピーを見るのがIDS、経路上に割り込むのがIPS。検知方式も混同しやすく、既知の攻撃パターンと照合するのがシグネチャ型（未知の攻撃は検知できない）、平常時との差を見るのがアノマリ型（誤検知が増えやすい）。

IDS・IPSとSIEMと関連する用語

• セキュリティ対策技術の基礎（ファイアウォール・パッチ・バックアップ）
• WAF（Webアプリケーションファイアウォール）

IDS・IPSとSIEMが出た過去問

• SIEM（Security Information and Event Management）の特徴はどれか。

  正解：複数のサーバやネットワーク機器のログを収集分析し、不審なアクセスを検知する。

  要点：SIEMは複数機器のログを統合分析して脅威を検知する

  SIEMは、サーバ・ネットワーク機器・セキュリティ製品など複数の機器のログを一元的に収集し、相関分析によって単独のログでは気付けない不審なアクセスや攻撃の兆候を検知する仕組みである。監視の統合と早期検知が目的である。

  出典：平成29年度 秋期 応用情報技術者試験 午前 問38（IPA）

• 攻撃にHTTP over TLS（HTTPS）が使われた場合に起こり得ることはどれか。

  正解：攻撃者が社内ネットワークに仕掛けたマルウェアによってHTTPSが使われると，通信内容がチェックできないので，秘密情報が社外に送信されてしまう。

  要点：HTTPSは経路上での内容検査を妨げ情報持出しの発見を難しくする

  通信がTLSで暗号化されると、途中のファイアウォールやIDSなどでは中身を検査できない。攻撃者が仕込んだマルウェアがHTTPSで外部と通信すると、機密情報が送信されていても内容を確認できず、持ち出しを見逃してしまう。

  出典：平成29年度 春期 応用情報技術者試験 午前 問44（IPA）