【Web】IDS・IPSとWAFの役割

Posted at 2024-12-24

はじめに

こんにちは、アメリカで独学でエンジニアを目指しているものです。

現在Webについて勉強しているのですが、セキュリティについて少し学んでおりIDS・IPS・WAFという言葉が出てきたので、それについてまとめようと思い記事にしました。

IDSは、ネットワークやホスト（サーバ／PC）へ不正アクセスや攻撃が行われていないかを**“検知”**するための仕組みです。たとえば以下のような機能を持ちます。

ショッピングサイトなどで、IPSの誤検知で遮断されてしまった場合、販売機会が損失するためIDSを採用する場合があります。

IPSは、IDSが検知した不正なアクセスや攻撃に対して自動的に防御アクションを行うシステムです。

ネットバンキングのような攻撃を受けたときのリスクが非常に高いサイトではIPSが使用されることがあります。

違い:

IDSやIPSがどのようにして不正行為や攻撃を見つけるかについては、シグネチャー型とアノマリー型の二つの手法が知られています。

**既知の攻撃パターンや特徴（シグネチャー）**をあらかじめデータベース化し、それとマッチする通信や挙動を検知して不正と判定します。SYNFlood攻撃のような特徴的な攻撃を検出できます。

正常な通信や挙動のパターン（ベースライン）を学習し、そのベースラインから逸脱した行動を検知して不正と判断します。

アクセス数が急増するF5攻撃などを検出できます。

通常の運用では、シグネチャー型とアノマリー型を適度に組み合わせることで、既知・未知の攻撃双方に対応できる柔軟な防御体制が構築されます。

WAFとは、Webアプリケーションへの攻撃を検知・防御するファイアウォールです。HTTPやHTTPSなどのアプリケーション層の通信を分析し、Webサーバへの攻撃（SQLインジェクションやクロスサイトスクリプティングなど）をブロックすることを目的としています。

WAFのセキュリティモデルとして、「ネガティブセキュリティモデル」「ポジティブセキュリティモデル」の２つがよく取り上げられます。

“許可されないもののみブロックする” アプローチ。SQLインジェクションやクロスサイトスクリプティングなどの既知の攻撃パターンをルール化しておき、それらに一致するリクエストのみをブロックします。また、WAF開発元が提供したルール（リスト）を利用することになります。

“許可されたもののみ通す” アプローチ。アプリケーションが受け付けるリクエスト形式・パラメータ内容など正規の仕様を定義しておき、そこから外れるものをブロックします。

多くのWAF製品は、ネガティブ・ポジティブ両方のモデルやハイブリッド方式をサポートしており、運用環境やアプリケーションの特徴に合わせて使い分けることが一般的です。

IDS（侵入検知）と IPS（侵入防止）:
- ネットワークレイヤでの不正アクセスに対して主に対応します。
- 検知手法として、シグネチャー型（既知の攻撃に強い）とアノマリー型（未知の攻撃にも対応）があります。
WAF（Web Application Firewall）:
- アプリケーション層の攻撃（例: SQLインジェクションやXSS）からWebサーバを守ります。
- ネガティブセキュリティモデル（既知の攻撃をブロック）とポジティブセキュリティモデル（正規のリクエストのみ通す）の2つのアプローチがあります。