侵入検知システム

侵入検知システム（IDS ）は、ネットワークやシステムを監視して悪意のある活動やポリシー違反を検出するデバイスまたはソフトウェアアプリケーションです。 ^{[ 1 ]}侵入活動や違反は通常、管理者に報告されるか、セキュリティ情報およびイベント管理（SIEM）システムを使用して一元的に収集されます。SIEMシステムは、複数のソースからの出力を組み合わせ、アラームフィルタリング技術を使用して悪意のある活動と誤報を区別します。^{[ 2 ]}

IDS の種類は、単一のコンピュータから大規模なネットワークまで、範囲が異なります。^{[ 3 ] [ 4 ]}最も一般的な分類は、ネットワーク侵入検知システム( NIDS ) とホストベース侵入検知システム( HIDS ) です。重要なオペレーティングシステム ファイルを監視するシステムは HIDS の例であり、受信ネットワーク トラフィックを分析するシステムは NIDS の例です。IDS は、検出方法によって分類することもできます。最もよく知られているバリアントは、シグネチャ ベースの検出(悪用試行などの悪いパターンを認識する) と異常ベースの検出 (機械学習に依存することが多い「良い」トラフィックのモデルからの逸脱を検出する) です。もう 1 つの一般的なバリアントは、評判ベースの検出 (評判スコアに基づいて潜在的な脅威を認識する) です。一部の IDS 製品には、検出された侵入に対応する機能があります。対応機能を備えたシステムは、通常、侵入防御システム( IPS )と呼ばれます。^{[ 5 ]}侵入検知システムは、ハニーポットを使用して悪意のあるトラフィックを引き付け、特徴付けるなど、カスタムツールで拡張することで特定の目的にも役立つ。 ^{[ 6 ]}

どちらもネットワークセキュリティに関連していますが、IDSはファイアウォールとは異なり、従来のネットワークファイアウォール（次世代ファイアウォールとは異なります）は静的なルールセットを使用してネットワーク接続を許可または拒否します。適切なルールセットが定義されていることを前提として、侵入を暗黙的に防止します。基本的に、ファイアウォールはネットワーク間のアクセスを制限して侵入を防ぎ、ネットワーク内部からの攻撃を通知しません。IDSは、侵入が疑われると、それを記述してアラームを通知します。IDSはまた、システム内部から発生する攻撃を監視します。これは従来、ネットワーク通信を調査し、一般的なコンピュータ攻撃のヒューリスティックとパターン（シグネチャとしてよく知られています）を特定し、オペレーターに警告するアクションを実行することによって実現されます。接続を終端するシステムは侵入防止システムと呼ばれ、アプリケーション層ファイアウォールのようにアクセス制御を実行します。^{[ 7 ]}

IDSは、検出が行われる場所（ネットワークまたはホスト）または採用される検出方法（シグネチャベースまたは異常ベース）によって分類できます。^{[ 8 ]}

一部のシステムは侵入の試みを阻止しようとするかもしれませんが、これは監視システムに求められることでも期待されることでもありません。侵入検知防御システム（IDPS）は、主に起こりうるインシデントを特定し、それに関する情報をログに記録し、試みを報告することに重点を置いています。さらに、組織はセキュリティポリシーの問題を特定したり、既存の脅威を文書化したり、個人がセキュリティポリシーに違反するのを抑止したりするなど、他の目的でもIDPSを使用します。IDPSは、ほぼすべての組織のセキュリティインフラストラクチャに不可欠な追加要素となっています。^{[ 24 ]}

IDPSは通常、観測されたイベントに関連する情報を記録し、重要な観測イベントをセキュリティ管理者に通知し、レポートを作成します。多くのIDPSは、検出された脅威に対して、その成功を阻止しようとすることで対応することもできます。IDPSは、攻撃自体を停止したり、セキュリティ環境を変更したり（ファイアウォールの再構成など）、攻撃の内容を変更したりするなど、いくつかの対応手法を使用します。^{[ 24 ]}

侵入防止システム（IPS ）は、侵入検知および防止システム（IDPS）とも呼ばれ、ネットワークまたはシステムの活動を監視し、悪意のある活動を検出するネットワークセキュリティ機器です。侵入防止システムの主な機能は、悪意のある活動を識別し、その活動に関する情報をログに記録し、報告し、ブロックまたは停止を試みることです。^{[ 24 ]}

侵入防御システムは、ネットワーク トラフィックやシステム アクティビティを監視して悪意のあるアクティビティを検出するという点で、侵入検知システムの拡張機能とみなされています。主な違いは、侵入検知システムとは異なり、侵入防御システムはインラインで配置され、検出された侵入を積極的に防止またはブロックできる点です。^{[ 25 ] : 273 [ 26 ] : 289} IPS は、アラームの送信、検出された悪意のあるパケットの破棄、接続のリセット、または問題のある IP アドレスからのトラフィックのブロックなどのアクションを実行できます。^{[ 27 ]} IPS はまた、巡回冗長検査(CRC)エラーの修正、パケット ストリームのデフラグ、TCP シーケンスの問題の軽減、不要なトランスポート層およびネットワーク層のオプションのクリーンアップも実行できます。^{[ 25 ] : 278 [ 28 ]}

侵入検知システムの適切な配置は非常に重要であり、ネットワークによって異なります。最も一般的な配置は、ファイアウォールの内側、ネットワークのエッジです。この方法では、IDS はネットワークに入ってくるトラフィックを高い可視性で監視でき、ネットワーク上のユーザー間のトラフィックは受信しません。ネットワークのエッジとは、ネットワークがエクストラネットに接続するポイントです。より多くのリソースが利用可能な場合は、技術者が最初の IDS を最も可視性の高いポイントに配置し、リソースの利用可能性に応じて、次の最も可視性の高いポイントに別の IDS を配置し、ネットワークのすべてのポイントがカバーされるまでこのプロセスを続けるという戦略を実行できます。^{[ 34 ]}

IDSがネットワークのファイアウォールの外側に配置されている場合、その主な目的はインターネットからのノイズから防御することですが、より重要なのは、ポートスキャンやネットワークマッパーなどの一般的な攻撃から防御することです。この位置にあるIDSはOSIモデルのレイヤー4から7を監視し、シグネチャベースになります。これは非常に有用な方法で、ファイアウォールを通過したネットワークへの実際の侵入ではなく、侵入の試みが表示されるため、誤検知の数を減らすことができます。この位置にあるIDSは、ネットワークに対する攻撃の成功を発見するのにかかる時間を短縮するのにも役立ちます。^{[ 35 ]}

高度な機能を備えたIDSは、ネットワークに侵入する高度な攻撃を阻止できるように、ファイアウォールと統合されることがあります。高度な機能の例としては、ルーティングレベルの複数のセキュリティコンテキストやブリッジングモードなどが挙げられます。これらすべてが、結果としてコストと運用上の複雑さを軽減する可能性があります。^{[ 35 ]}

IDS の配置のもう 1 つのオプションは、実際のネットワーク内です。これにより、ネットワーク内の攻撃や不審なアクティビティが明らかになります。ネットワーク内のセキュリティを無視すると、多くの問題が発生する可能性があります。ユーザーがセキュリティリスクを引き起こしたり、すでにネットワークに侵入した攻撃者が自由に動き回ったりすることを許してしまうからです。強力なイントラネット セキュリティにより、ネットワーク内のハッカーでさえも動き回って権限を昇格させることが難しくなります。^{[ 35 ]}

• ノイズは侵入検知システムの有効性を著しく低下させる可能性があります。ソフトウェアのバグ、破損したDNSデータ、およびエスケープしたローカル パケットによって生成された不良パケットは、非常に高い誤報率を引き起こす可能性があります。^{[ 36 ]}
• 実際の攻撃の数が誤報の数をはるかに下回ることは珍しくありません。実際の攻撃の数は誤報の数をはるかに下回ることが多く、実際の攻撃が見逃されたり無視されたりすることがよくあります。^{[ 36 ]}
• 多くの攻撃は、通常は古くなっている特定のバージョンのソフトウェアを標的にしています。脅威を軽減するには、常に更新されるシグネチャライブラリが必要です。古いシグネチャデータベースは、IDSを新しい戦略に対して脆弱にする可能性があります。^{[ 36 ]}
• シグネチャベースのIDSでは、新しい脅威が発見されてからそのシグネチャがIDSに適用されるまでに遅延が発生します。この遅延時間中、IDSは脅威を識別することができません。^{[ 32 ]}
• IDSは、脆弱な識別・認証メカニズムやネットワークプロトコルの脆弱性を補うことはできません。攻撃者が脆弱な認証メカニズムによってアクセス権を取得した場合、IDSは攻撃者による不正行為を阻止することができません。
• 暗号化されたパケットは、ほとんどの侵入検知装置では処理されません。そのため、暗号化されたパケットによって、より深刻なネットワーク侵入が発生するまで、ネットワークへの侵入が発見されないままになる可能性があります。
• 侵入検知ソフトウェアは、ネットワークに送信されるIPパケットに関連付けられたネットワークアドレスに基づいて情報を提供します。IPパケットに含まれるネットワークアドレスが正確であれば、これは有益です。しかし、IPパケットに含まれるアドレスは偽装または暗号化されている可能性があります。
• NIDSシステムの性質上、キャプチャしたプロトコルを分析する必要があるため、NIDSシステムはネットワークホストが脆弱なプロトコルベースの攻撃に対して脆弱になる可能性があります。無効なデータやTCP/IPスタック攻撃により、NIDSがクラッシュする可能性があります。^{[ 37 ]}
• クラウドコンピューティングのセキュリティ対策は、ユーザーのプライバシーニーズの多様性を考慮していません。^{[ 38 ]}ユーザーが企業であろうと個人であろうと、すべてのユーザーに同じセキュリティメカニズムを提供します。^{[ 38 ]}

攻撃者が使用する手法は数多くありますが、以下はIDSを回避するために講じることができる「単純な」対策と考えられます。

• 断片化：断片化されたパケットを送信することで、攻撃者は監視システムをかいくぐり、攻撃シグネチャを検出する検出システムの能力を容易に回避できます。
• デフォルト設定の回避：プロトコルが使用するTCPポートは、必ずしも転送中のプロトコルを示すものではありません。例えば、IDSはポート12345でトロイの木馬を検出することを想定しているかもしれません。しかし、攻撃者がポートを別のポートに変更した場合、IDSはトロイの木馬の存在を検出できない可能性があります。
• 協調型低帯域幅攻撃：多数の攻撃者（またはエージェント）間でスキャンを協調させ、異なる攻撃者に異なるポートまたはホストを割り当てることで、IDSがキャプチャされたパケットを関連付けてネットワークスキャンが進行中であることを推測することが困難になります。
• アドレススプーフィング／プロキシ：攻撃者は、セキュリティ対策が不十分な、または設定が不適切なプロキシサーバーを使用して攻撃を迂回させることで、セキュリティ管理者が攻撃元を特定することを困難にすることができます。攻撃元が偽装され、サーバーによって迂回された場合、IDS（侵入検知システム）が攻撃元を検出することは非常に困難になります。
• パターン変更による回避：IDSは一般的に「パターンマッチング」によって攻撃を検出します。攻撃に使用するデータをわずかに変更することで、検出を回避できる可能性があります。例えば、インターネットメッセージアクセスプロトコル（IMAP）サーバーはバッファオーバーフローの脆弱性を抱えている可能性があり、IDSは10種類の一般的な攻撃ツールの攻撃シグネチャを検出できます。ツールが送信するペイロードを、IDSが想定するデータと似ていないように変更することで、検出を回避できる可能性があります。

最も初期の予備的なIDSの概念は、1980年に国家安全保障局のジェームズ・アンダーソンによって概説され、管理者が監査証跡を確認するのに役立つことを目的とした一連のツールで構成されていました。^{[ 39 ]}ユーザーアクセスログ、ファイルアクセスログ、システムイベントログは監査証跡の例です。

フレッド・コーエンは1987年に、あらゆるケースで侵入を検出することは不可能であり、侵入を検出するために必要なリソースは使用量に応じて増加すると指摘した。^{[ 40 ]}

ドロシー・E・デニングは、ピーター・G・ニューマンの協力を得て、1986年にIDSのモデルを発表し、これが今日の多くのシステムの基礎となった。^{[ 41 ] [ 42 ]} 彼女のモデルは異常検出に統計を使用し、その結果、SRIインターナショナルで侵入検知エキスパートシステム（IDES）と呼ばれる初期のIDSが誕生した。IDESはSunワークステーション上で動作し、ユーザーレベルとネットワークレベルの両方のデータを考慮できた。^{[ 43 ]} IDESは、既知の種類の侵入を検出するためのルールベースのエキスパートシステムと、ユーザー、ホストシステム、ターゲットシステムのプロファイルに基づく統計的異常検出コンポーネントという二重のアプローチを採用していた。「IDES: 侵入者検出のためのインテリジェントシステム」の著者であるテレサ・F・ラントは、 3番目のコンポーネントとして人工ニューラルネットワークを追加することを提案した。彼女は、3つのコンポーネントすべてがリゾルバに報告できると述べた。SRIは1993年にIDESに続いて次世代侵入検知エキスパートシステム（NIDES）を発表した。^{[ 44 ]}

P-BESTとLispを使用したエキスパートシステムであるMultics侵入検知・警報システム（MIDAS）は、 DenningとNeumannの研究に基づいて1988年に開発されました。^{[ 45 ]} また、統計を使用して監査証跡を削減するHaystackも同年に開発されました。^{[ 46 ]}

1986年、国家安全保障局はレベッカ・ベイスの下でIDS研究移転プログラムを開始した。ベイスは後に、このテーマに関する画期的なテキストである『侵入検知』を2000年に出版した。 ^{[ 47 ]}

Wisdom & Sense (W&S) は、1989 年にロスアラモス国立研究所で開発された統計ベースの異常検出器です。^{[ 48 ]} W&S は統計分析に基づいてルールを作成し、それらのルールを使用して異常を検出します。

In 1990, the Time-based Inductive Machine (TIM) did anomaly detection using inductive learning of sequential user patterns in Common Lisp on a VAX 3500 computer.^[49] The Network Security Monitor (NSM) performed masking on access matrices for anomaly detection on a Sun-3/50 workstation.^[50] The Information Security Officer's Assistant (ISOA) was a 1990 prototype that considered a variety of strategies including statistics, a profile checker, and an expert system.^[51] ComputerWatch at AT&T Bell Labs used statistics and rules for audit data reduction and intrusion detection.^[52]

Then, in 1991, researchers at the University of California, Davis created a prototype Distributed Intrusion Detection System (DIDS), which was also an expert system.^[53] The Network Anomaly Detection and Intrusion Reporter (NADIR), also in 1991, was a prototype IDS developed at the Los Alamos National Laboratory's Integrated Computing Network (ICN), and was heavily influenced by the work of Denning and Lunt.^[54] NADIR used a statistics-based anomaly detector and an expert system.

The Lawrence Berkeley National Laboratory announced Bro in 1998, which used its own rule language for packet analysis from libpcap data.^[55] Network Flight Recorder (NFR) in 1999 also used libpcap.^[56]

APE was developed as a packet sniffer, also using libpcap, in November, 1998, and was renamed Snort one month later. Snort has since become the world's largest used IDS/IPS system with over 300,000 active users.^[57] It can monitor both local systems, and remote capture points using the TZSP protocol.

The Audit Data Analysis and Mining (ADAM) IDS in 2001 used tcpdump to build profiles of rules for classifications.^[58] In 2003, Yongguang Zhang and Wenke Lee argue for the importance of IDS in networks with mobile nodes.^[59]

2015年、Viegasと彼の同僚^{[ 60 ]}は、例えばモノのインターネット（IoT）アプリケーション向けのシステムオンチップ（SoC）を目的とした、異常ベースの侵入検知エンジンを提案した。この提案は、異常検知に機械学習を適用し、Atom CPUでの決定木、ナイーブベイズ、k近傍法分類器の実装と、FPGAでのハードウェアフレンドリーな実装にエネルギー効率を提供する。^{[ 61 ] [ 62 ]}文献では、これは各分類器をソフトウェアとハ​​ードウェアで同等に実装し、両方でのエネルギー消費を測定した最初の研究であった。さらに、ソフトウェアとハ​​ードウェアで実装されたネットワークパケット分類に使用される各特徴の抽出のエネルギー消費を測定したのもこれが初めてであった。^{[ 63 ]}

• アプリケーションプロトコルベースの侵入検知システム（APIDS）
• 人工免疫システム
• バイパススイッチ
• サービス拒否攻撃
• DNS分析
• 押し出し検出
• 侵入検知メッセージ交換フォーマット
• プロトコルベース侵入検知システム（PIDS）
• リアルタイム適応型セキュリティ
• セキュリティ管理
• シールドアップ
• ソフトウェア定義の保護

 この記事には、Karen Scarfone、Peter Mell著「侵入検知および防御システムガイド、SP800-94（PDF） 」 （米国国立標準技術研究所、 2025年7月9日取得）からのパブリックドメイン資料が含まれています。

• ベイス、レベッカ・ガーリー（2000）。侵入検知。インディアナ州インディアナポリス：マクミラン・テクニカル。ISBN 978-1578701858。
• Bezroukov, Nikolai (2008年12月11日) 「大企業における侵入検知インフラストラクチャのアーキテクチャ上の問題（改訂版0.82）」 Softpanorama 。 2010年7月30日取得。
• PM Mafra、JS Fraga、AO Santin (2014) 「MANETにおける分散型IDSのアルゴリズム」 Journal of Computer and System Sciences . 80 (3): 554–570 . doi : 10.1016/j.jcss.2013.06.011 .
• Hansen, James V.; Benjamin Lowry, Paul; Meservy, Rayman; McDonald, Dan (2007). 「動的かつ進化する侵入検知によるサイバーテロ防止のための遺伝的プログラミング」。Decision Support Systems . 43 (4): 1362–1374 . doi : 10.1016/j.dss.2006.04.004 . SSRN 877981 . 
• Scarfone, Karen; Mell, Peter (2007年2月)。「NIST – 侵入検知・防御システム（IDPS）ガイド」（PDF）。コンピュータセキュリティリソースセンター（800–94）。doi : 10.6028 /NIST.SP.800-94 。 2023年12月27日取得。
• Singh, Abhishek. 「侵入防止検知システムにおける回避策」 . Virus Bulletin . 2010年4月1日取得.
• Dubey, Abhinav. 「ディープラーニングを用いたネットワーク侵入検知システムの実現」 . Medium . 2021年4月17日取得。

• Al_Ibaisi, T.、Abu-Dalhoum, AE-L.、Al-Rawi, M.、Alfonseca, M.、Ortega, A. (日付不明)。遺伝的アルゴリズムを用いた最適なDNAシグネチャの探索によるネットワーク侵入検知。http ://www.wseas.us/e-library/transactions/systems/2008/27-535.pdf
• Ibaisi, TA、Kuhn, S.、Kaiali, M.、Kazim, M. (2023). 機械学習を用いたアミノ酸配列構造に基づくネットワーク侵入検知. Electronics, 12(20), 4294. https://doi.org/10.3390/electronics12204294

• 製品別の共通脆弱性識別子（CVE）
• NIST SP 800-83、マルウェアインシデントの予防と対処に関するガイド
• NIST SP 800-94、侵入検知・防御システム（IDPS）ガイド