セキュリティ用語を調べていると、IDS・IPS・ファイアウォール・WAFが並んで出てきて、どれが何を守っているのか分かりにくく感じることがあります。結論から言うと、IDSは「怪しい通信を見つけて知らせる」仕組み、IPSは「怪しい通信を見つけて自動で止める」仕組みで、どちらも不正アクセスの検知・防御に関わりますが、役割が「知らせるだけ」か「止めるところまでやる」かで分かれています。この記事では、IDS・IPSの基本と、ファイアウォール・WAFとの違いを未経験向けに整理します。
IDSとは何か
IDS（Intrusion Detection System・侵入検知システム）は、ネットワークやサーバーの通信を監視し、不正アクセスの疑いがある通信を見つけたときに管理者へ知らせる仕組みです。IDSはあくまで「検知」までが役割で、通信そのものを止める機能は持ちません。怪しい通信のパターン（攻撃によく使われる通信の特徴）と実際の通信を比較し、一致するものがあればアラートを出す、という形で動きます。見つけた後にどう対応するかは、管理者の判断に委ねられます。
IPSとは何か
IPS（Intrusion Prevention System・侵入防御システム）は、IDSと同じように通信を監視しますが、怪しい通信を見つけた時点で自動的に通信を遮断するところまで行う仕組みです。知らせるだけのIDSに対して、IPSは「見つけて止める」までを自動化している点が大きな違いです。対応が早くなる分、正常な通信を誤って止めてしまう（誤検知）と、業務に影響が出るリスクもあるため、導入する際はルールの調整が重要になります。
ファイアウォール・WAFとの違い
IDS・IPSと混同しやすいのが、ファイアウォールやWAFです。それぞれ見ている場所が違います。
| 仕組み | 主に見ている場所 | 役割 |
|---|---|---|
| ファイアウォール | 送信元・宛先・ポート番号 | 許可した通信だけを通す |
| IDS | 通信の内容のパターン | 怪しい通信を検知して知らせる |
| IPS | 通信の内容のパターン | 怪しい通信を検知して自動で止める |
| WAF | Webアプリケーションへの通信内容 | Webアプリ特有の攻撃を防ぐ |
ファイアウォールは「誰が・どのポートに通信してよいか」という入り口の制限が中心で、通信の内容までは詳しく見ません。IDS・IPSはその一歩先として、許可された通信の中身まで見て、攻撃のパターンに当たるものを見つけます。WAFはさらにWebアプリケーションに特化し、SQLインジェクションのようなWebならではの攻撃を防ぐ役割を持ちます。1つの仕組みだけで完結させず、複数を組み合わせて多層的に守るのが一般的です。
IDS・IPSが活躍する場面
現役でインフラの現場にいる立場から言うと、IDS・IPSは次のような場面で実感しやすい仕組みです。
- 外部からの不審なアクセス試行を早期に把握し、被害が広がる前に気づける
- ファイアウォールだけでは防げない、許可された通信の中に隠れた攻撃パターンを検知できる
- IPSを導入することで、検知から遮断までの対応時間を人の判断より早くできる
一方で、監視対象の通信量が多い環境ではアラートの数も増えやすく、本当に対応が必要な通知を見分ける運用の設計が欠かせません。
未経験はどこまで理解しておけばいいか
未経験の段階では、IDS・IPSの細かい設定方法まで理解する必要はありません。「ファイアウォールは入り口の制限、IDS・IPSは通信の内容を見た検知・防御」という役割の違いをイメージできていれば十分です。現場に入ってからは、監視システムが出すアラートの中にIDS・IPSの検知結果が含まれていることも多く、まずはどんな通信が検知対象になるのかを実例で覚えていく流れが一般的です。ゼロトラストの考え方と合わせて理解すると、入り口だけでなく内部の通信まで検証する発想にもつながりやすくなります。
InfraDojoで学ぶ
InfraDojoなら、ブラウザ上の演習環境でネットワークやセキュリティの基礎を手を動かしながら学べるため、IDS・IPSのような検知・防御の仕組みも土台から理解しやすくなります。次に何を学べばいいか迷う場合は、ネットワークの学習ロードマップを確認してみてください。
よくある質問
Q. IDSとIPSはどちらを導入すればいいですか？
一概には言えません。IDSは検知後の対応を人が判断できる柔軟さがあり、IPSは対応の速さを優先できます。システムの重要度や誤検知の許容度に応じて選ぶ、または組み合わせて使う現場もあります。
Q. ファイアウォールがあればIDS・IPSは不要ですか？
そうとは言えません。ファイアウォールは送信元やポート番号による入り口の制限が中心で、許可された通信の中身までは見ません。中身のパターンまで検知したい場合はIDS・IPSの役割が必要になります。
Q. 未経験でもIDS・IPSの運用に関わることはありますか？
直接の設定を任されることは少ないですが、監視業務の中でIDS・IPSが出す検知アラートを見る機会はあります。まずはアラートの種類と対応の流れを覚えていくところから関わっていくのが一般的です。
