IDS・IPSとSIEMとは？

IDS・IPSとSIEMの意味

IDS（侵入検知システム）は不正アクセスの兆候を検知して通知する仕組み、IPS（侵入防止システム）は検知に加えて自動的に遮断する仕組み。SIEM（Security Information and Event Management）は、ファイアウォールやIDS/IPSなど複数の機器のログを一元的に集約・相関分析し、脅威の兆候を早期に発見する仕組み。

IDS・IPSとSIEMの具体例

個々の機器のログでは見えにくい攻撃の兆候（複数の機器にまたがる不審なアクセスパターンなど）を、SIEMで横断的に分析することで早期発見につなげる。

IDS・IPSとSIEMは試験でどう引っ掛けられる？

IDSは検知して知らせるだけで遮断しない。自動的に遮断するのはIPSで、「防止」と名が付くほうが止める側と覚える。設置形態も、通信経路の外側でコピーを見るのがIDS、経路上に割り込むのがIPS。検知方式も混同しやすく、既知の攻撃パターンと照合するのがシグネチャ型（未知の攻撃は検知できない）、平常時との差を見るのがアノマリ型（誤検知が増えやすい）。

IDS・IPSとSIEMと関連する用語

• WAF（Webアプリケーションファイアウォール）