IDS（侵入検知システム：Intrusion Detection System）
更新日:
用語解説
IDS（侵入検知システム）は、ネットワークやサーバへの不正なアクセスや攻撃の兆候を監視して検知し、管理者に通知するシステムです。
■ 試験で押さえるポイント
ネットワークを監視するネットワーク型と、サーバの上で監視するホスト型があります。
検知と通知が主な役割で、通信を遮断する機能は基本的にありません。
既知の攻撃のパターンで検知するシグネチャ型と、普段との違いで検知するアノマリ型があります。
■ 過去問での着眼点
IDSは検知と通知、IPSは検知と遮断と区別します。
例: IDSが不審な通信を検知して管理者にメールで通知し、管理者が調査を始めます。
■ 観測範囲とアラートの解釈
NIDSはネットワーク通信、HIDSはホスト内のイベントなどを観測する。SPANやTAPで複製を受ける方式では、片方向の観測や取りこぼしにより通信を完全には復元できない場合がある。
TLS終端前の監視点ではHTTP本文を平文として読めない。シグネチャ一致は観測した特徴の一致であり、攻撃の成功を意味しない。スキャナ、再送、正規の管理作業による一致も切り分ける。
送受信方向、時刻、フローID、ルールID、端末・アプリのログを照合する。アラートがない場合も、監視点の欠落、ルール無効化、保持期間、検知できない手法を確認する。