単元解説

ファイアウォール・IDS・IPSの基礎

セキュリティCCNA

通信を許可・遮断するファイアウォールと、不審な活動を検知・防御するIDS・IPSの役割、配置、ログ活用の基本を学びます。

この単元で学ぶこと

ネットワークを守るには、許可する通信を決め、不要な通信を減らし、不審な活動を早く見つけて対応する必要があります。ファイアウォール、IDS、IPSは、そのために使われる代表的なセキュリティ機能です。

この単元では、ファイアウォール、ステートフルインスペクション、セキュリティゾーン、ネットワークIDS、ネットワークIPS、シグネチャベース検知、異常検知、誤検知、検知漏れ、セキュリティログの基本を学びます。

ファイアウォールは、定義されたルールに基づいて通信を許可または遮断する仕組みです。送信元・宛先IPアドレス、ポート番号、プロトコル、接続状態、アプリケーションなどを条件として、通信を制御します。

ファイアウォールの目的は、すべての通信を止めることではありません。業務に必要な通信を明確に許可し、それ以外を適切に制限することです。

ステートフルインスペクションは、パケットを一つずつ独立して見るだけでなく、通信の接続状態を追跡して判断する方式です。たとえば、内部から開始した通信への応答を許可し、外部から突然始まる不要な通信を遮断するために役立ちます。

ただし、ステートフルであっても、ルール設計、例外設定、暗号化された通信の扱い、ログ監視は必要です。

セキュリティゾーンは、信頼度や用途が近いネットワークをグループとして扱う考え方です。内部、DMZ、外部、管理ネットワークなどを分け、ゾーン間で許可する通信をポリシーとして定義します。

ゾーンを分けると、ネットワーク全体を一律に扱うよりも、通信ルールと責任範囲を整理しやすくなります。

IDSはIntrusion Detection Systemの略で、不審な通信や活動を検知して通知・記録する仕組みです。IPSはIntrusion Prevention Systemの略で、検知に加えて、通信の遮断など防御動作を行う仕組みです。

IDSは可視化や調査に役立ちますが、通知を受けた後に対応が必要です。IPSは自動防御に役立つ一方で、誤って正常通信を止めないよう、検知ルールと運用を慎重に調整します。

ネットワークIDSとネットワークIPSは、ネットワーク上の通信を観察して不審な活動を検知します。設置位置によって見える通信が変わるため、インターネット境界、DMZ、重要サーバーの近く、内部セグメント間など、守る対象と監視目的に応じて配置します。

暗号化された通信では内容をそのまま確認できない場合があります。可視化の範囲、復号の可否、プライバシー、性能への影響を考えます。

シグネチャベース検知は、既知の攻撃パターンや特徴と照合する方法です。既知の脅威を効率よく検知できる一方で、未知の手法や変化した攻撃を見逃す可能性があります。

異常検知は、通常とは異なる通信量、宛先、時間帯、操作などを検知する方法です。未知の異常に気付くきっかけになりますが、業務上の正当な変化も通知することがあるため、基準の調整が重要です。

誤検知は、正常な通信や活動を脅威として検知することです。検知漏れは、実際の脅威を検知できないことです。誤検知が多すぎると運用担当者が重要な通知を見落としやすくなり、検知漏れが多いと侵害の発見が遅れます。

ログの確認、ルールのチューニング、資産の重要度に応じた優先度付け、インシデント対応手順を組み合わせて改善します。

ファイアウォール、IDS、IPSのログは、許可・遮断・検知・防御の根拠を確認するために重要です。時刻を同期し、送信元、宛先、ポート、ルール名、アラート内容を確認できるようにします。

通知を受けた後に誰が何を確認し、いつ遮断・調査・エスカレーションするかを決めておくと、対応を早められます。

ファイアウォールは通信を制御し、IDSは不審な活動を検知し、IPSは検知に加えて防御動作を行います。すべてを一つの機能に任せるのではなく、ゾーン分離、ポリシー、ログ、監視、対応手順を組み合わせます。