NETWORK INTRUSION PREVENTION
アノマリ型IPSとは？
設置方法と検知方法を体系的に理解する
公開日：2026-10-10
社内ネットワークに普段の10倍のアクセスが突然発生したとします。攻撃の特徴的な文字列がなくても「いつもと違う」と判断できるのがアノマリ検知です。一方、その通信を実際に遮断できるかは装置の設置方式によります。両者を別の軸として理解しましょう。
パケット・スイッチ → IDS／IPS → インライン／ミラー → シグネチャ／アノマリ → FP／FN → 可用性 → ノード式通信図・操作ラボ。応用情報の土台となる用語も整理します。
1. そもそも「侵入検知」と「侵入防止」は何が違う？
IDS（Intrusion Detection System）は不審な挙動を検知・通知する仕組み、IPS（Intrusion Prevention System）は検知に加えて遮断・防止を行う仕組みです。「Detection＝発見」「Prevention＝防止」と覚えます。ただし実際の製品は共通エンジンを使い、設定・配置で機能が変わる場合もあります。
| 用語 | 役割 | 具体例 |
|---|---|---|
| パケット | ネットワークを流れる通信データの単位 | ブラウザがWebページを要求する通信 |
| スイッチ | 同じネットワーク内の機器間でフレームを転送 | オフィスのLANスイッチ |
| IDS | 異常を検知して管理者に知らせる | 社内通信の不審な動きをSOCに通知 |
| IPS | 不審な通信を検知して遮断する | 攻撃と判断したパケットをサーバーへ通さない |
| WAF | 主にHTTP(S)のWebアプリ向け通信を検査 | ECサイトの検索・ログインを保護 |
| ネットワークFW | IPアドレスやポート、接続状態などで制御 | 社外から社内への不要な接続を制限 |
2. インラインは「本線上」、ミラーは「コピーを横から見る」
Inline＝通信経路の中に置くことです。パケットが装置を通過するため、その場で遮断できます。対してミラーポート（SPAN）はスイッチがパケットのコピーを監視装置へ送る仕組みです。
- IPSは通信経路上に配置される。
- 異常を検出すればパケットの通過を止められる。
- 障害時には通信断や迂回動作など可用性設計が重要になる。
この配置だけでは本線のパケットを直接破棄できません。検知後にFWなどと連携し間接的な遮断をする構成はありますが、それは別の制御経路です。
| 用語 | 役割 | 具体例 |
|---|---|---|
| インライン（Inline） | 本線を通信が通る配置 | IPSでその場で遮断できる |
| ミラーポート / SPAN | スイッチが本線パケットを複製 | 経路外のIDS・監視装置に通信を渡す |
| TAP | 通信経路の観測用に複製する装置 | パケット取得用の監視機器 |
| プロミスキャスモード | NICが自分宛以外のフレームも受け取る設定 | ミラー通信をキャプチャする監視NIC |
| fail-open | 故障時に通信を通す設計 | 防御が停止してもサービス継続を優先 |
| fail-close | 故障時に通信を止める設計 | 防御機能が使えなければ通信を停止 |
3. シグネチャ型とアノマリ型：何を基準に攻撃と判断するか
次の分類は検知ロジックの話で、装置をどこに設置するかとは独立しています。
| 用語 | 役割 | 具体例 |
|---|---|---|
| シグネチャ型（Signature） | 事前登録した不正な通信パターンとの一致を探す | 既知の攻撃の特徴を含むパケットを検出 |
| アノマリ型（Anomaly） | 通常時の振る舞い・基準からの逸脱を探す | 普段は毎分100件なのに突然毎分1000件 |
| しきい値 | 異常とする境界値 | 通常比率や接続件数が設定値を超える |
| ベースライン | 正常な状態の基準や傾向 | 平日昼のアクセス数・通信量 |
| 偽陽性 FP | 実際は正常なのに検知 | 正当な夜間バックアップを攻撃と誤判定 |
| 偽陰性 FN | 実際は攻撃なのに見逃す | 未知の攻撃が登録済みシグネチャに一致しない |
アノマリ型は未知の手口でも正常時との差を捉えられる可能性がある一方、アクセス増がキャンペーンなどの正当な理由なら誤検知し得ます。シグネチャ型も既知の特徴には強いものの、更新されていないパターンは見逃す可能性があります。両者は排他的ではなく組み合わせて利用されます。
- シグネチャ型は『既知の不正パターンに一致したか』を確認。
- アノマリ型は『通常時の通信傾向から外れたか』を確認。
- 検知後の措置は配置・ポリシー・連携機構で決まる。
4. 組み合わせは4通り。混同しないための2×2表
| 設置／検知 | シグネチャ型 | アノマリ型 |
|---|---|---|
| ミラー（経路外） | 既知パターンの検知と通知。基本的に本線パケットを直接遮断しない。 | 通常状態からの逸脱を検知と通知。基本的に本線パケットを直接遮断しない。 |
| インライン（経路上） | 既知パターン一致を検知し、設定に応じて遮断。 | 通常状態から逸脱した通信を検知し、設定に応じて遮断。 |
5. 現場で起こりそうな例
| 用語 | 役割 | 具体例 |
|---|---|---|
| 小売サイトのセール | 普段よりアクセス数が増えてアノマリ検知される | 正常な業務イベントでもFPになり得る |
| 社内の夜間バックアップ | データ転送量が急増する | 時間帯別ベースラインで誤検知対策 |
| 既知の脆弱性への攻撃 | 特徴的な通信がシグネチャに一致 | 既知パターンの検知に役立つ |
| 新しい攻撃手法 | 従来のシグネチャに一致しない場合がある | 通信頻度や振る舞いで異常を検出できる可能性 |
| 企業のネットワーク監視 | スイッチのSPANからログ取得 | 業務通信を止めずに観測 |
| 重要なサーバー前段 | インライン型IPSで通過可否を制御 | 遅延・性能・障害時の迂回を設計 |
6. 操作ラボ：方式を変えて判定と通信経路を確認
インライン／ミラーとアノマリ／シグネチャを別々に切り替えます。通常アクセス、未知の大量アクセス、既知の攻撃、正常なバックアップを比較し、障害時の動作も確認できます。
INTERACTIVE LAB
IPSの設置・検知シミュレーター
装置の置き方と判定ロジックは独立です。設定を切り替え、同じ通信がどう扱われるか比較しましょう。実製品の挙動・性能を再現したものではありません。
通信経路（ノード図）
すべての対象パケットがIPSを通過するため、検知後にその場で遮断できます。
観測値：900 req/分 ／ 登録シグネチャ一致：なし
普段と異なるトラフィックの急増。既知の攻撃パターンには一致しない想定。
判定結果
TP：攻撃を検知し遮断
設定した検知条件に一致。インラインでは通信遮断の可否を制御できます。
インライン装置が故障したら？
可用性と防御のトレードオフを考えるための模式例です。製品によって動作は異なります。
注：閾値は教育用の架空値で、シグネチャ検知・アノマリ検知はいずれも単純化しています。ミラーポート構成でも外部装置への制御連携により遮断できる製品はありますが、コピー監視そのものが本線パケットを破棄するわけではありません。
7. 運用・設計で押さえたい応用情報の基礎
| 用語 | 役割 | 具体例 |
|---|---|---|
| 監視範囲 | 通信を観測できる位置と暗号化・復号の有無で変わる | HTTPSの内容はTLS終端位置によって見え方が異なる |
| ベースライン更新 | 時間帯・曜日・業務変化を考慮 | 月末の大量処理を正常動作として評価 |
| 可用性 | IPSが本線上なら停止が業務に影響し得る | 冗長化やfail-open／fail-closeの選択 |
| 誤検知対応 | 検知ログと実際の業務を照合する | 新システム導入後の正常通信を例外化 |
| ログ・SIEM | 複数装置のイベントを分析し相関を取る | IPSアラートを認証ログと突き合わせる |
| SOAR連携 | 検知後の調査・対処を手順化 | 高確度アラートをチケット化・担当者に通知 |
NIST SP 800-94は、侵入検知・防止技術と運用上の課題を整理した資料です。またSuricata・Snortのような具体的な検知エンジンを調べると、単なる用語で終わらずルールや運用のイメージが持てます。
8. 参考資料
- Guide to Intrusion Detection and Prevention Systems (IDPS), SP 800-94（NIST）
- Suricata Documentation（Open Information Security Foundation）
- Snort Documentation（Cisco）
- Configure Port Mirroring（Cisco）