用語比較
IDSとIPSの違い｜配置・誤検知・暗号化通信の判断基準
一言でいうと
IDSは侵入の兆候の検知・通知を、IPSは検知に加え通信の阻止を担う。ここではネットワーク型を中心に、受動監視とインライン検査を比較する。可視化と調査が目的なら監視を、通信を止める必要があり誤遮断・性能・復旧条件を管理できるならIPSの遮断運用を検討する。製品名だけで通知と阻止の実行を判断しない。
IDSとIPSの違いを、監視・遮断、受動配置とインライン構成、誤検知、暗号化通信の7軸で比較。導入前に決める通信経路、例外の期限、停止・復旧条件を整理します。AWSの通知と遮断、TLS検査の具体例と、4状態の受入確認、無料のネットワーク防御教材で、情シスの判断を支えます。
- 難易度
- 初級
- 想定読者
- ネットワーク運用・情シス・変更承認者
- 所要時間
- 約12分
- 最終確認
- 2026-10-30
- 1. 経路と対象を決める
監視位置、迂回、暗号化、業務通信と取得できない範囲を整理する。
- 2. 遮断条件を承認
通知から遮断へ進む範囲、誤検知、例外の期限、障害時の動作を決める。
- 3. 4状態で確認
通常・通知・遮断・復旧の期待と実際を、許可済み環境で記録する。
IDSとは
Intrusion Detection System。ネットワークやホストの不審な活動を検知する仕組み。このページのネットワーク型では通信のコピーを受ける受動監視を代表例とする。外部機器への連携で対応する構成もある。
IPSとは
Intrusion Prevention System。侵入の兆候を検知し、通信の阻止等を行う仕組み。ネットワーク型ではインライン配置が代表例だが、実際に遮断するかは稼働モード、ルール、通信経路等に依存する。
違いの比較表
| 比較軸 | IDS | IPS |
|---|---|---|
| 目的 | 兆候の可視化、通知と調査 | 検査に基づく阻止と通知・調査 |
| 配置 | ミラーやTAP等で通信のコピーを受ける受動監視が代表例 | 通信経路上で検査するインラインが代表例。実際の経路を確認 |
| 誤検知 | 通知過多や調査遅延につながる | 誤遮断で正規の業務通信を止める可能性がある |
| 見える範囲 | 取得位置、コピー漏れ、暗号化、取りこぼしに左右される | 検査経路、暗号化、性能やポリシーに左右される |
| 障害 | 監視が止まっても業務は続く構成では、検知不能を見落とさない | 障害時に通すか止めるか、冗長化と復旧の責任を決める |
| ログ | 通知・ルール・対象・時刻を確認し、未取得を区別 | 通知、遮断の判定、実通信の結果を区別。ログ設定も確認 |
| 見積 | センサー、取得点、ログ保存、通知と調査の工数 | 検査時の性能、冗長化、保守、例外管理と変更・復旧工数 |
購入や設定変更の前に、構成の読み違いを減らす
監視位置と止める通信が決まったら、ファイアウォール・IDS・IPSの役割を図とクイズで確認する。判断表で不足した条件を、次の記録へ引き継げます。
無料教材で配置・通信制御を確認する使い分け
- まず通信の可視化と通常時の把握が必要なら、監視点・暗号化の制約と通知先を決めてIDSの受動監視を評価する。通知を誰も見ない構成は避ける。
- 業務上阻止すべき通信が明確で、誤遮断の承認・解除、障害時の動作、性能と復旧を確認できるならIPSを検討する。すべての通知を一括で遮断へ切り替えない。
- 既存NGFW等にIDS/IPS機能があるなら、別装置の購入より先に対象経路と現在のライセンス・設定・検査能力を確認する。端末・Web・IDの対策とは役割を分ける。
設置位置の確認：経路とピーク時の検査を先に決める
確認する経路は、外部との出入口、サーバー間、拠点間、クラウド内など自組織の要件で選ぶ。ネットワーク図に監視・検査の位置、迂回経路、取得できない通信を書き込む。コピーを受ける監視装置の設置だけで、通信が止まる構成になったとは考えない。
容量は回線の最大速度だけで選ばず、検査機能・ルール・TLS検査を有効にした条件で、ピーク帯域、同時接続、遅延、取得漏れを確認する。要件例として、自社が定めた許容遅延と取りこぼしの上限を文書化し、超えたときの連絡・縮退・切り戻しの承認者を決める。共通の安全なMbps値や遅延値はない。
NIST SP 800-94は2007年の資料で、IDS/IPSの分類・設計を読む基礎資料として使う。NISTは2012年のRevision 1草案が最終版にならず撤回されたと説明している。古い図を2026年の製品仕様や最新の構成推奨として転用せず、現行製品の資料と照合する。
通知と遮断の違い：アラート表示だけで完了にしない
現在の機能例としてAWS Network Firewallのstatefulルールにはpass・drop・reject・alertがある。alertの一致は最終的な通過を意味せず、同じパケットが後続のdropに一致する場合もある。通知が出た、遮断判定があった、実通信が止まった、の3点を区別して確認する。
ルール評価順、対象範囲、別ルール、実際の経路を照合する。AWSはアラートを見るためにファイアウォールのログ設定が必要だと説明している。ログなしを通信なしと読まず、生成・配送・検索のどこが未確認かを残す。実装コードやルールの貼り付けではなく、許可された担当者が管理画面と証跡で確認する。
誤検知の例外は、対象ルール・対象業務・理由・承認者・期限・再確認日を揃える。全体の検査停止や広い恒久除外を最初の対応にしない。侵害が疑われるときは、障害の切り戻しと被害の封じ込めを責任者が分けて判断する。
暗号化通信の注意点：HTTPSの中身まで見えるとは限らない
通常のネットワーク観測だけでは、暗号化された本文をそのまま内容検査できない。メタデータの観測と、復号した本文の検査を区別する。必要なら組織の承認、プライバシー・証明書管理・対象除外・業務互換性を確認し、端末側の記録等と組み合わせる。
AWS Network FirewallのTLS検査資料は、既存ファイアウォールへ検査設定を追加すると対象の既存フローが中断すること、初回接続で遅延が発生し得ることを説明する。平文HTTP等がTLS検査範囲に入ると破棄される条件もある。機能を有効にするだけの無影響な変更とは扱わない。
許可済みの検証環境で、重要な業務の接続、証明書エラー、性能、検査対象・対象外を確かめてから変更承認へ進む。通信できないからといって利用者へ証明書警告の無視や保護の無効化を指示しない。製品・OS・アプリごとの現行条件を確認する。
導入手順と費用：4状態の確認・例外管理・復旧を含める
編集部の受入例は4状態。①正常な業務通信、②製品公式の安全な評価方法による通知、③承認済みの検証通信の遮断と業務影響、④誤遮断や装置障害を想定した承認・復旧を確認する。通知のみの確認を遮断テスト成功に数えず、実在の外部サービスや本番利用者を試験対象にしない。
記録項目は変更ID、確認時刻とタイムゾーン、対象経路・ルール、期待と実際、ログの保存先、承認者、復旧確認者、例外期限、残件。障害時に通信を通すか止めるかは可用性と保護の両方に影響するため、業務責任者と事前に合意し、操作手順は既存の変更管理に従う。
見積ではセンサーや拠点の単位、検査時の性能、冗長化、ルール更新、TLS検査、ログ保存・転送、保守と運用を揃える。仮定の例で週12件の通知を1件10分調査するなら週2時間。例外・復旧・夜間待機は含まない計算例で、実測の削減効果ではない。件数と時間を自組織で置き換える。
よくある誤解
- IDS/IPSは必ず別製品という意味ではない。同じ製品に通知と阻止の機能があり、設定・配置で動作が変わることがある。
- IPSを入れてもパッチ・端末保護・ID管理・WAFのすべてを代替しない。見える通信と止める対象を明確にする。
- 通知0件や疎通成功を、検知の成功・侵害なし・全通信の検査完了と同一視しない。監視漏れ・ログ欠落も確認する。
よくある質問
IDSとIPSはどちらを先に導入すべきですか？
順序を一律には決めません。まず可視化と通知が必要なら受動監視を、阻止の必要が明確で誤遮断・性能・復旧条件を管理できるならIPSを評価します。既存製品の機能と、実際に検査できる通信経路も確認します。
IPSのアラートが出れば、通信は遮断済みですか？
通知だけで遮断済みとは判断しません。稼働モード、ルール評価順、対象範囲、実経路と結果を確認します。AWSのalert一致は最終的な通過を意味せず、後続のdropに一致することもあるため、通知・判定・実通信を分けます。
HTTPSもIPSを置くだけで本文まで検査できますか？
通常の観測だけで暗号化本文を内容検査できるとは考えません。復号の有無と対象を分け、証明書・プライバシー・互換性・性能を確認します。AWSのTLS検査追加は対象の既存フローを中断するため、検証と変更承認が必要です。
編集・確認情報
NIST SP 800-94の位置付けと本文、AWSのルール処理・アクション・TLS検査の公開資料を照合し、構成・誤遮断・暗号化・受入条件を改訂しました。製品の性能実測やネットワークでの動作検証・個別監修ではありません。 最終確認日は 2026-10-30 です。
参考資料は用語・設計・機能例の確認先です。製品ごとの範囲は異なり、特定製品の推奨や比較全体の公式認定ではありません。資料の公開時点と現行の公式案内も合わせて確認してください。
新しい解説を見逃さない
CVE・KEVの初動対応や実務チェックリストは随時追加しています。使いやすい方法で更新を受け取れます。