IPS
ネットワークへの不正な侵入や攻撃を検知し、その通信を遮断するシステム。監視対象の通信が必ず通過するように、通信経路上にインラインで設置する。
イマシルちゃんの解説
IDSが「怪しい人を見つけたら警報を鳴らす防犯カメラ」なら、
IPSは「怪しい人を見つけたら、その場で通せんぼする警備員」なんだ。
警備員は入口に立っていないと、怪しい人を止められないよね。
だからIPSは、通信が必ず通る道の上に置くんだ。
ただ、間違えて普通のお客さんを止めちゃうと困るから、設定はとっても慎重にするんだよ！
より深い解説
定義
IPS（Intrusion Prevention System：侵入防止システム）は、通信を監視して攻撃や不正なアクセスを検知し、自動的にその通信を遮断（防御）するシステムである。通信をそのまま通過させる経路上に設置するインラインモードで動作する。
IDSとの違い
| IDS（侵入検知システム） | IPS（侵入防止システム） | |
|---|---|---|
| 主な役割 | 検知して通知する | 検知して遮断する |
| 設置方法 | スイッチのミラーポートなどに接続し、通信のコピーを受け取る（プロミスキャスモード） | 通信経路上に設置し、通信を通過させる（インラインモード） |
| 通信への影響 | ない（コピーを見るだけ） | 機器の故障や処理の遅れが、通信に影響する |
| 誤検知の影響 | 誤った警報が出る | 正常な通信が遮断される |
IDSも、TCPのリセット（RST）を送ったり、ファイアウォールに設定を指示したりして、間接的に通信を止める機能を持つことがあるが、確実に遮断するには、通信経路上にあるIPSが必要である。
検知の方式
| 方式 | 不正と判断する通信 | 長所 | 短所 |
|---|---|---|---|
| シグネチャ型（不正検出） | あらかじめ定義した異常な通信のパターン（シグネチャ）に合致する通信 | 既知の攻撃を高い精度で検知できる | 未知の攻撃は検知できない |
| アノマリ型（異常検出） | 平常時の通信から外れた通信 | 未知の攻撃も検知できる可能性がある | 平常時の定義が難しく、誤検知が多くなりやすい |
方式と設置の組み合わせ
| シグネチャ型 | アノマリ型 | |
|---|---|---|
| ミラーポートに接続（IDS） | 定義した異常な通信と合致するものを検知する | 平常時から外れた通信を検知する |
| 経路上に設置（IPS） | 定義した異常な通信と合致するものを遮断する | 平常時から外れた通信を遮断する |
「インラインモードで動作するシグネチャ型IPS」は、通信経路上に設置され、定義した異常な通信に合致する通信を不正と判断して遮断する。
設計上の注意
| 注意点 | 対策 |
|---|---|
| 機器の故障で通信が止まる | 故障時に通信をそのまま通す機能（フェールオープン、バイパス）や、機器の冗長化 |
| 誤検知で業務の通信が止まる | 導入直後は検知だけを行う設定で様子を見て、シグネチャを調整してから遮断を有効にする |
| 暗号化された通信は中身を検査できない | TLSを復号して検査する仕組みと組み合わせる |
| 処理の遅れ | 通信量に見合った性能の機器を選ぶ |