IDS（侵入検知システム）とは？不正アクセスを検知する仕組みをわかりやすく解説【IPA試験対策】

対象試験と出題頻度

IDS（侵入検知システム）は、ITパスポートから応用情報技術者まで幅広く出題されるセキュリティの重要キーワードです。

特に「IPS（侵入防止システム）」との違いが頻出なので、両者の役割を明確に区別できるようにしておきましょう。

用語の定義

IDS（Intrusion Detection System：侵入検知システム）とは、一言で言うと「ネットワークやシステムへの不正アクセスや攻撃を検知し、管理者に警告を発するセキュリティシステム」のことです。

イメージとしては、「建物に設置された防犯カメラと警報装置」のようなものです。不審者が侵入しようとしたら、それを検知して「侵入者がいます！」と警報を鳴らす。ただし、防犯カメラ自体が不審者を取り押さえるわけではありません。あくまで「検知して通知する」のがIDSの役割です。

情報処理試験を勉強していると、「IDSとIPSって何が違うの？」と混乱しがちです。結論から言えば、IDSは「検知のみ」、IPSは「検知＋遮断」。この1点だけ押さえれば、試験問題はほぼ解けます。

解説

IDS（Intrusion Detection System）は、ネットワークを流れる通信やサーバ上の動作を常時監視し、不正アクセスや攻撃の兆候を検知するセキュリティシステムです。

「Detection（検知）」という名前のとおり、検知と通知が主な役割で、攻撃を自動的に止める機能は持っていません。

「検知だけで意味があるの？」と思うかもしれませんが、実はこれが重要なのです。セキュリティインシデントが発生したとき、「いつ、どこから、どんな攻撃があったか」を把握できなければ、適切な対応ができません。IDSはその「目」の役割を果たします。

IDSの種類

IDSは監視対象によって大きく2種類に分かれます。これは試験でも問われるポイントなので、しっかり押さえておきましょう。

NIDS（Network-based IDS：ネットワーク型IDS）は、ネットワーク上を流れるパケットを監視します。ネットワークの要所に設置し、通過するすべての通信を検査するため、ネットワーク全体を効率的に監視できます。ただし、暗号化された通信（HTTPS等）の中身は検査できないという制限があります。

HIDS（Host-based IDS：ホスト型IDS）は、個々のサーバやPCにインストールして、そのホスト上の活動を監視します。ログファイル、ファイルシステムの変更、プロセスの挙動などをチェックします。暗号化通信の復号後のデータも監視できますが、監視対象ごとにインストールが必要なため、管理の手間がかかります。

IDSの検知方式

IDSが不正アクセスを検知する方法には、主に2つの方式があります。

シグネチャ型（不正検知型）は、既知の攻撃パターン（シグネチャ）をデータベース化し、それに一致する通信を検知します。既知の攻撃に対しては高い精度で検知できますが、未知の攻撃や新種の攻撃には対応できません。ウイルス対策ソフトのパターンマッチングと同じ考え方です。

アノマリ型（異常検知型）は、正常な通信パターンを学習し、そこから逸脱した「異常」を検知します。未知の攻撃も検知できる可能性がありますが、正常な通信を攻撃と誤検知（フォルスポジティブ）するリスクもあります。

IDSの限界と他の対策との組み合わせ

IDSは強力な監視ツールですが、単体では完全な防御にはなりません。検知しても自動で遮断しないため、管理者の対応が遅れると被害が拡大する可能性があります。

そのため、実際の運用では、リアルタイムで遮断できるIPS（侵入防止システム）と併用したり、ファイアウォールやWAFと組み合わせた「多層防御」を構築したり、SIEM（Security Information and Event Management）と連携してログを一元管理したりするのが一般的です。

試験ではこう出る！

IDSは、ITパスポートから応用情報技術者まで幅広く出題されます。

「IPSとの違い」「NIDSとHIDSの違い」「シグネチャ型とアノマリ型の違い」という3つの比較がよく問われるので、それぞれの特徴を整理しておきましょう。

「IDSとIPSの違いは大丈夫だけど、NIDSとHIDSまで覚える必要ある？」と感じた方もいるかもしれません。

正直なところ、ITパスポートレベルではIDSとIPSの違いだけ押さえておけば十分です。基本情報・応用情報を受ける方は、NIDSとHIDSの違いまで覚えておくと安心です。

【確認テスト】理解度チェック

ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。