What Is IDPS? How Intrusion Detection & Prevention Systems Work

侵入検知システム (IDS) とは？

侵入検知システム (IDS)は、悪意のある活動やポリシー違反がないか、ネットワークやシステムの活動を監視するように設計されたセキュリティ技術である。IDSはトラフィックを分析し、異常、既知の攻撃パターン、不正アクセスの試みを検知 、潜在的なセキュリティ侵害のアラートを管理者に提供する。

‍

IDS/IDPSの種類

侵入検知システムにはさまざまな分類がある。最も一般的な分類は以下の通りである：

IDS/IDPSの仕組み

Intrusion detection and prevention system solutions utilize a combination of signature-based and anomaly-based detection techniques to analyze network traffic and system activities. Here's how they work:

1. シグネチャ・ベースの検知：IDS/IDPSシステムは、既知の攻撃パターン(シグネチャ)のデータベースを保持し、受信するネットワーク・トラフィックやシステム・イベントと比較する。一致するものが見つかると、侵入やセキュリティ脅威の可能性を示すアラートが生成されます。
2. 異常ベースの検知：これらのシステムは、時間の経過に伴う正常なネットワークとシステムの動作のベースラインを確立する。このベースラインからの逸脱は、潜在的な異常としてフラグが立てられます。アノマリー・ベースの検知は、未知の脅威や既知のシグネチャを持たない攻撃を特定するのに効果的です。
3. リアルタイム・モニタリング：IDS/IDPSソリューションは、ネットワーク・トラフィックを継続的に監視し、既知の攻撃シグネチャに一致する、または確立された標準から大きく逸脱するパターンやアクティビティを探します。
4. Alerting and Reporting: When suspicious or malicious activity is detected, IDS/IDPS systems generate alerts, which can include details about the detected threat, its severity, and the affected system or network segment. These alerts are sent to security personnel or integrated with Security Information and Event Management (SIEM) systems for further analysis and response.
5. レスポンス・メカニズム(IDPS)：IDPS ソリューションには、検出に加えて、検出された脅威をリアルタイムでブロックまたは軽減するための自動化されたアクションを実行する機能があります。このプロアクティブなアプローチは、潜在的なセキュリティ侵害の防止に役立ちます。

IDS/IDPSの利点

Intrusion Detection Systems (IDS) and Intrusion Detection and Prevention Systems (IDPS) are essential components of an organization's cybersecurity strategy for several reasons:

1. 脅威の検知IDS/IDPSソリューションは、潜在的なセキュリティ脅威や侵入を特定し、組織に警告する上で重要な役割を果たします。早期警告と迅速な検知を提供することで、サイバー攻撃の防止や影響の最小化を支援します。
2. 規制コンプライアンス：多くの業界や組織は、機密データを保護し、サイバーセキュリティ基準へのコンプライアンスを確保するために、IDS/IDPSの使用を義務付ける規制要件の対象となっています。
3. インシデントレスポンスIDS/IDPS ソリューションは、インシデント対応の取り組みに不可欠です。侵入の性質と範囲に関する貴重な情報を提供することで、セキュリティ・チームは脅威を封じ込め、緩和するための適切な措置を講じることができます。
4. ダウンタイムと被害の削減IDS/IDPSソリューションは、脅威を迅速に検出し対応することで、サイバー攻撃によるダウンタイムと潜在的な損害を削減し、関連するコストと混乱を最小限に抑えます。
5. ネットワークの可視性：これらのシステムは、ネットワーク・トラフィックとアクティビティに関する洞察を提供し、組織がネットワークの動作を理解し、追加の保護が必要な脆弱性の領域を特定するのに役立ちます。
6. プロアクティブ・ディフェンス (IDPS)： IDPS ソリューションは、脅威によるネットワーク・セキュリティの侵害を積極的に防止することで、検知を超えた防御を実現します。悪意のあるトラフィックや疑わしいアクティビティをリアルタイムで自動的にブロックまたは隔離し、アタックサーフェスを縮小します。

IDS/IDPSの限界

現代の攻撃者は、境界防御や マルウェア 検出技術を容易に回避・回避できます。検出回避には、以下の5つの特徴のいずれか、またはその組み合わせがみられます：

1. サイン回避
2. 暗号化されたトラフィック
3. ペリメーター回避
4. 内部の動き
5. クレデンシャル・ハーベスティング

サイン回避

シグネチャベースのIDPSを回避する最も単純な手法は、既知のシグネチャに一致しないトラフィックを使用することである。これは単純なものから高度に複雑なものまで存在する。例えば、シグネチャ検出はしばしば「既知の」侵害されたIPアドレスやボットネットが使用するURLに基づいており マルウェアが使用する「既知の」侵害されたIPアドレスやURLに基づいています。攻撃者にとって回避策は、新しいドメインを登録するだけで十分です。

一方、高度に洗練された攻撃者は、未知の脆弱性を発見し、それを悪用することができる。そのような「未知の」脆弱性に対する攻撃は、当然ながらIDPSが見つけようとするシグネチャの種類を欠いている。

暗号化されたトラフィック

シグネチャを回避するもう一つの方法は、トラフィックを不明瞭にすることだ。これは、悪意のあるネットワーク・トラフィックを暗号化するという単純なものである。境界でのSSL復号化も選択肢の1つではあるが、パフォーマンス・ペナルティが発生するためコストがかかり、運用も複雑になっている。

今日の洗練された攻撃者は、最善の状況下でも復号化できないカスタマイズされた暗号化を使用しています。このため、セキュリティ・チームは、境界で未知のトラフィックをブロックするか許可するかを決定しなければならない。

ペリメーター回避

攻撃者は、境界とその保護を完全に回避することを学んでいる。自宅や境界の外にいるユーザーのデバイスを感染させることで、脅威は玄関から侵入することができる。

特筆すべきは、モバイル・デバイスが境界周辺の論理的・物理的な経路を提供していることだ。LTEや5Gのデータ接続を持つモバイル・デバイスは、インターネットへの容易な経路を持ち、攻撃者がネットワーク内部に侵入するために好んで使用する目に見えない導管として機能する。

内部の動き

Given the almost exclusive focus of IDPS is on the perimeter, once around the initial defenses, attackers can move much more freely. This involves an ongoing process of internal reconnaissance, lateral movement, and the access and theft of key assets. Each area employs a wide variety of attacker techniques, and they all take place inside the network where visibility is typically low.

これをさらに一歩進めると、ハイブリッドクラウドやマルチクラウドの導入が始まったことで、ネットワークの可視性のギャップは、しばしばコンピュートインスタンスとストレージインスタンス間の接続にまで及んでいる。サイバー攻撃者はこの可視性のギャップを好んで利用する。

クレデンシャル・ハーベスティング

Once inside the network, savvy attackers don’t need exploits and malware to extend their incursion. Instead, they simply harvest user credentials from compromised hosts to spread through the network. Typically, they capture a username and login during the authentication process or steal credentials or hashes from memory. In either case, attackers can spread throughout the network using valid credentials without having to use exploits or malware.

Vectra AIでIDS/IDPSのセキュリティギャップをカバー

IDS/IDPSソリューションはネットワークセキュリティにおいて重要な役割を果たしますが、それだけでは高度化・進化するサイバー脅威に対する包括的な保護を提供できない場合があります。そこでVectra AIの出番です。

Vectra AI offers an advanced threat detection and response platform that goes beyond traditional IDS/IDPS capabilities.

人工知能と機械学習アルゴリズムを活用することで、Vectra AI ネットワークトラフィックとユーザー行動をリアルタイムでVectra AI 、IDS/IDPSシステムを迂回する可能性のある高度な攻撃を検知します。

Vectra AIは、隠れた脅威、ゼロデイ攻撃、内部脅威を特定する能力を備えており、IDS/IDPSソリューションでは対応できないセキュリティギャップを埋め、組織がネットワークをプロアクティブに防御し、新たな脅威に迅速に対応することを可能にします。Vectra AIを活用することで、企業はセキュリティ体制全体を強化し、サイバー犯罪者の一歩先を行くことができます。

> セキュリティ・チームが老朽化したIDPSをNDRに置き換える理由を読む

貴社の防御を強化し、より強靭なサイバーセキュリティポスチャを実現するために、私たちがどのようなお手伝いができるか、お問い合わせください。