情報処理安全確保支援士に合格するためのアウトプット（2/n）

IDS（Intrusion Detection System：侵入検知システム）

大きく2種類に分かれる。

NIDS（Network型IDS）

ネットワーク型なので、ネットワーク上に配置可能なもの。
どこに置くかによって目的・効果も変わるので配置場所は注意。

• 設置方法

  • FWの外に置く（バリアセグメント）
  • FWの中に置く
    • DMZに置く（中に入る前に検知できて良い）
    • 内部ネットワーク上に置く（万が一内部に入ったものに対しても検知できる）

• 検知方法

  • パターンマッチング
    • 事前に決められたパターンのデータかどうかをマッチングし、検知する
  • アノマリ検知
    • RFCなどの正しいプロトコル仕様や振る舞いなどと比較し、逸脱したものを検知する

• 検知後

  • TCP接続であれば、IDSからRSTパケットを送って通信を切断させる
  • FWに異常検知した内容を伝え、FWに通信を遮断してもらう

HIDS（Host型IDS）

ホスト型なので、ホスト（主にサーバ）に配置可能なもの。
NIDSと主な機能としては変わらない部分も多いが、ホスト上で動作するので以下などに強いものは多い。

• ホスト上のリソースへのアクセス検知
• 不正なプログラムのインストール検知
• コンテンツの改ざん検知

IDSを設置する上での注意点

• HIDS/NIDSを設置する場合、DMZ・内部セグメントの棲み分けに注意する
• DMZと内部セグメントの間にはFWがあるため、内部セグメントからIDSを管理する場合には、マネジメントコンソールを使用するためにFWのポートを開けておく必要がある
• NIDSは自身が接続されたフレームを全てキャプチャするために、スイッチのミラーポートに接続する必要がある
  • なので、ポートミラーリングできないスイッチではNIDSを使用できない
• NIDSが監視に使用するNICは、プロミスキャストモードに設定する必要がある
  • NIDSのMACアドレス宛てでないものも取り込む必要があるため
  • プロミスキャストモード
    • 自分宛でないものも破棄せず取り込むモード
• NIDSが攻撃を受けないよう、監視に用いるNICには、IPアドレスを割り当てないようにする
  • これに伴い、L2での監視になる

IDSの設置構成例

• DMZと内部セグメントを監視
• スイッチ接続
• TAP接続
• LB接続
  • SSLアクセラレータ（SSL/TLSパケットの暗号化・複合を高速に行う機器）つきのLBを用いる
  • 上記にともない、HTTPS通信も監視可能となる

IDS導入上の留意点

• 共通
  • どう検知するかのポリシ策定
  • 検知時の通知・対応方法
  • ログ管理方法
• NIDS
  • 当然だけどNWに関しての影響を考える
    • 帯域・総利用量・1パケット量・NWの普段の利用状況（ピーク時の値とか）
    • 暗号化パケットの対応方法
  • 構成にも気をつける
    • 冗長時の構成
    • センサへの接続方法・センサの保護対策
    • スイッチとの接続ポート、設定
    • FWとの関連性
• HIDS
  • スペック大事
    • CPU、メモリ、HDD・・・
  • ソフトにも注意
    • OS、ソフトの種類・バージョン

IDSは完璧ではない

• NIDS

  • 誤検知、取りこぼしは実際ありうる
  • アプリへの攻撃、暗号化パケットは対応できないものが多い
  • 攻撃は検知できても、侵入までは検知できない
  • 不正アクセスを防御できない
    • 防御はIPSやWAFなどでしっかり行う必要あり
  • 内部犯罪はムリ
    • これはもうお手上げ

• HIDS

  • OSの限界を超えるものは無理
  • 1HIDSで1ホスト
  • 導入によるパフォーマンス低下などの影響が有り得る
    • ウィルス対策ソフトも同じ
  • 予兆検知は困難
    • 振る舞い検知などができるものもあるかもしれないが・・・
  • 内部犯罪はムリ
    • NIDSと同じ