ネットワーク・通信セキュリティ重要度:★★★出題: AM2・PM1

IDS / IPS と NDR (Network Detection and Response)

あいでぃーえす / あいぴーえす / えぬでぃーあーる / Intrusion Detection System / Intrusion Prevention System / NDR

ネットワーク上のパケットや通信フローを監視し、不正侵入の兆候を検知・通知（IDS）またはインラインでリアルタイム遮断（IPS）するシステム。

3行速習ポイント

シグネチャ型（既知の攻撃パターンとの一致検出）とアノマリ型（異常検出型：通常時の通信ベースラインからの逸脱を検出）の2方式
NIDS（ネットワーク型）はスイッチのミラーポート（SPAN）やTAP経由で監視するが、TLS暗号化通信のペイロード検査には復号機構が必要
NDRは機械学習とNetFlow/パケット解析を用い、EDRを導入できないIoT機器や内部ネットワークの横展開（East-West通信）の異常を検知

図解

図IDS（ミラーポート監視）と IPS / WAF（インライン遮断）の配置・役割

IDS / NDR（パッシブ監視・異常検知）ミラーポート接続

スイッチのミラーポート（SPAN）やTAPからコピー収集

通信経路の脇でパケットやNetFlowを分析。単一障害点にならず、NDRでは機械学習により社内横展開（East-West通信）やC2通信の異常を検知

IPS（インライン配置・リアルタイム遮断）インライン接続

通信経路上に直列配置し攻撃パケットを即時破棄

OS・ミドルウェアの脆弱性を突く通信をリアルタイム遮断。正常通信を止める誤検知（False Positive）のチューニングと障害時バイパス設計が重要

💡 HTTPS暗号化通信の内部にある攻撃ペイロードをIPSやNIDSで検査するには、前段のリバースプロキシやSSL可視化装置での「TLS復号（終端）」が必須

概要と本質

ファイアウォールがIPアドレスとポート番号で門番をするのに対し、IDS/IPSはパケットの中身や通信頻度からOS・ミドルウェアへの攻撃やマルウェアのC2通信を捉えます。近年は暗号化通信の増加に伴い、TLS終端装置との連携や通信メタデータ（パケット長・間隔・JA3フィンガープリント）を解析するNDRが重要視されています。