【情報処理安全確保支援士試験 令和6年度 秋期 午前2 問13】アノマリ型IPSとは？未来の脅威に立ち向かう番人！
今回は、学習される中で耳にするであろう、しかし意外と深掘りする機会の少ない「アノマリ型IPS」について、分かりやすく解説していきたいと思います。
ネットワークセキュリティの世界は日進月歩。新しい攻撃手法が次々と生まれる中で、従来のセキュリティ対策だけでは守りきれない場面も増えてきました。そんな中で注目されているのが、今回ご紹介する「アノマリ型IPS」です。
情報処理安全確保支援士試験 令和6年度 秋期 午前2 問13
【出典：情報処理安全確保支援士試験 令和6年度 秋期 午前2（一部、加工あり）】
インラインモードで動作するアノマリ型IPSはどれか。
ア IPSが監視対象の通信経路を流れる全ての通信パケットを経路他からキャプチャできるように通信経路上のスイッチのミラーポートに接続される。異常な通信を定義し、それと合致する通信を不正と判断して遮断する。
イ IPSが監視対象の通信経路を流れる全ての通信パケットを経路他からキャプチャできるように通信経路上のスイッチのミラーポートに接続される。通常時の通信を定義し、それから外れた通信を不正と判断して遮断する。
ウ IPSが監視対象の通信を通過させるように通信経路上に設置される。異常な通信を定義し、それと合致する通信を不正と判断して遮断する。
エ IPSが監視対象の通信を通過させるように通信経路上に設置される。通常時の通信を定義し、それから外れた通信を不正と判断して遮断する。
1. アノマリ型IPSって、そもそも何？
「アノマリ型IPS」の「アノマリ（Anomaly）」とは、「異常」や「特異なもの」という意味です。つまり、通常とは異なる通信パターンを検知して、それを不正な通信と判断し、ブロックする仕組みを持つIPS（Intrusion Prevention System：侵入防御システム）のことなんです。
従来のIPS（シグネチャ型IPS）が、既知の攻撃パターン（シグネチャ）と照合して防御するのに対し、アノマリ型IPSは「いつもと違う動き」を捉えることで、まだ見ぬ脅威にも対応できる可能性を秘めている点が大きな特徴です。
2. なぜ今、アノマリ型IPSが注目されるの？その背景と経緯
インターネットの普及とともに、サイバー攻撃はより巧妙化・多様化しています。
- 未知のマルウェア・ゼロデイ攻撃の増加: 従来のシグネチャ型IPSは、既知の攻撃パターンにしか対応できません。日々生み出される新しいマルウェアや、脆弱性が発見されてから対策が取られるまでの間に攻撃される「ゼロデイ攻撃」に対しては、効果を発揮しにくいという課題がありました。
- 標的型攻撃の増加: 特定の企業や組織を狙い撃ちにする標的型攻撃は、通常の業務通信に紛れ込ませるなど、検知が非常に困難です。
- 内部不正への対応: 内部の人間による情報持ち出しなど、通常の通信に見えても実際には不正な行為であるケースもあります。
このような背景から、「通常の通信」を学習し、そこから逸脱した挙動を検知するアノマリ型IPSの必要性が高まってきたのです。
3. アノマリ型IPSの仕組み：AIと機械学習が鍵！
アノマリ型IPSの核となるのは、「ベースライン（正常な通信パターン）」の学習と、それとの比較による「異常検知」です。
- ベースラインの学習: まず、アノマリ型IPSは一定期間、ネットワークを流れる大量の通信データを監視します。この期間に、どのくらいの量のデータが流れるのか、どのプロトコルが使われているのか、どのIPアドレスがよく通信しているのかなど、「通常の状態」を機械学習や統計分析によって徹底的に学習し、そのパターンを確立します。
- 異常検知: ベースラインが確立されると、その後は常に現在の通信パターンとベースラインを比較します。例えば、
- 普段はほとんど通信のないポートから、突然大量の通信が発生した
- 特定のサーバーへのアクセス量が異常に増加した
- 通常は利用されないプロトコルが使われ始めた
この学習と検知のプロセスは、AI（人工知能）や機械学習の技術によって実現されており、継続的に学習することで、より精度の高い検知が可能になります。
4. アノマリ型IPSの活用事例
アノマリ型IPSは、様々な場所でその力を発揮しています。
- 企業ネットワーク: 標的型攻撃や内部不正の検知、DDoS攻撃の初期段階での検知などに活用されます。
- データセンター: サーバーへの不正アクセスや、異常なデータ転送を監視し、重要な情報を保護します。
- IoTデバイス: IoTデバイスはセキュリティ対策が手薄な場合も多く、アノマリ型IPSによって異常な通信を検知し、マルウェア感染や乗っ取りを防ぎます。
- OT（Operational Technology）ネットワーク: 工場などの制御システム（OT）は、サイバー攻撃による物理的な被害のリスクが高いため、異常な制御コマンドや通信を検知し、システムダウンや事故を未然に防ぎます。
5. アノマリ型IPSの課題と対策
万能に見えるアノマリ型IPSですが、いくつか課題もあります。
- 誤検知（False Positive）: 「通常とは異なる動き」を検知するため、正当な通信であっても、これまで学習したパターンと異なるために誤って不正と判断してしまうことがあります。例えば、大規模なシステムアップデートや一時的なトラフィックの急増などが原因で発生することがあります。
- 対策: 継続的な学習とチューニングが重要です。誤検知が発生した場合は、その通信を正常なものとして学習させ直すことで、徐々に精度を高めていきます。
- 未検知（False Negative）: 攻撃者が巧妙に「正常な通信」を装って攻撃してきた場合、それを検知できない可能性があります。
- 対策: シグネチャ型IPSや他のセキュリティソリューションと組み合わせることで、多層的な防御を構築することが重要です。
- 学習期間とコスト: ベースラインを確立するためには、一定期間の学習が必要であり、その間は検知精度が低い場合があります。また、高度な機械学習を用いるため、導入コストや運用コストが高くなる傾向があります。
- 対策: 導入前に十分な PoC（概念実証）を行い、自社のネットワーク環境に適しているか確認することが重要です。
6. 今後の動向：AIと連携し、より賢く、より強固に！
アノマリ型IPSは、今後もAIや機械学習の進化とともに、その検知精度と防御能力を向上させていくでしょう。
- AIによる脅威予測: 単純な異常検知だけでなく、過去の攻撃データや外部の脅威インテリジェンスと連携し、より高度な脅威予測を行うようになる可能性があります。
- 自動応答の強化: 異常検知後のブロックだけでなく、関連するシステムとの連携により、自動的に隔離や設定変更を行うなど、より迅速な自動応答が可能になるでしょう。
- クラウドベースの展開: クラウドネイティブなサービスとして提供されることで、より柔軟なスケーリングと管理が可能になり、中小企業でも導入しやすくなることが期待されます。
アノマリ型IPSは、未知の脅威に立ち向かうための強力なツールであり、情報処理安全確保支援士やネットワークスペシャリストを目指す皆さんにとっては、今後ますます理解を深めておくべき技術分野と言えるでしょう。
問題解説
それでは、冒頭の問題について解説していきましょう。
問題：インラインモードで動作するアノマリ型IPSはどれか。
ア IPSが監視対象の通信経路を流れる全ての通信パケットを経路他からキャプチャできるように通信経路上のスイッチのミラーポートに接続される。異常な通信を定義し、それと合致する通信を不正と判断して遮断する。
- 「ミラーポートに接続される」という記述は、IPSが通信経路の途中に設置されるのではなく、通信を「監視」するモード（パッシブモード、プロミスキャスモード）であることを示しています。このモードでは、通信の遮断はできません。
- 「異常な通信を定義し、それと合致する通信を不正と判断して遮断する」は、シグネチャ型IPSの特徴に近いです。
イ IPSが監視対象の通信経路を流れる全ての通信パケットを経路他からキャプチャできるように通信経路上のスイッチのミラーポートに接続される。通常時の通信を定義し、それから外れた通信を不正と判断して遮断する。
- 「ミラーポートに接続される」という点はアと同様で、パッシブモードを示します。通信の遮断はできません。
- 「通常時の通信を定義し、それから外れた通信を不正と判断して遮断する」は、アノマリ型IPSの検知方法としては正しいです。
ウ IPSが監視対象の通信を通過させるように通信経路上に設置される。異常な通信を定義し、それと合致する通信を不正と判断して遮断する。
- 「通信経路上に設置される」は、IPSが通信経路の途中に介在し、通信を「遮断」できるモード（インラインモード）であることを示しています。
- 「異常な通信を定義し、それと合致する通信を不正と判断して遮断する」は、シグネチャ型IPSの検知方法です。
エ IPSが監視対象の通信を通過させるように通信経路上に設置される。通常時の通信を定義し、それから外れた通信を不正と判断して遮断する。
- 「通信経路上に設置される」は、インラインモードであり、通信を遮断できることを示しています。
- 「通常時の通信を定義し、それから外れた通信を不正と判断して遮断する」は、まさにアノマリ型IPSの検知方法そのものです。
したがって、正解はエとなります。
いかがでしたでしょうか？アノマリ型IPSの概念から、具体的な仕組み、そして今後の展望まで、ご理解いただけたでしょうか。
情報処理安全確保支援士やネットワークスペシャリストの試験対策だけでなく、実際の業務でも役立つ知識だと思いますので、ぜひ今後の学習に活かしてくださいね！
