情報セキュリティマネジメント 2016年 春期 午前（科目A） 問12

侵入検知システムの役割【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 各選択肢のキーワードを見る（「インストールされているソフトの更新確認」「テストデータで脆弱性検出」「監視して通知」「自己診断」）。
2. 「監視して通知」＝攻撃の検出とアラート、これがIDSの定義に一致するか確認する。IDSは「検知（Detection）」と「通知」が中心。
3. 他の選択肢が指す機能（更新管理、脆弱性診断、自己診断）は別の道具・仕組みなので除外する。
4. 結果、監視して管理者に通知する機能を示す ウ を正解とする。

選択肢別の誤答解説

• ア: 「PCにインストールされているソフトウェア製品が最新か確認する」
  → これはパッチ管理や資産管理ツールの機能です。例：ソフトのバージョンを把握し、更新を促す仕組みであり、攻撃の検出・通知が目的のIDSとは異なります。
• イ: 「検査対象にテストデータを送り、応答や挙動から脆弱性を検出する」
  → これは脆弱性診断やペネトレーションテストの説明です。攻撃を模した入力で弱点を探す能力であり、IDSがリアルタイムに監視して攻撃を検出する役割とは別です。
• ウ: 「サーバやネットワークを監視し、セキュリティポリシを侵害する挙動を検知して管理者へ通知する」
  → IDSの基本機能に合致します。監視→検知→通知が典型的な流れです。補足として、IDSは通常「検知」までで、自動遮断は行いません（次の補足参照）。
• エ: 「運用管理状況などを入力して組織の取組を自己診断する」
  → これは自己診断ツールやチェックリスト（セルフアセスメント）の説明です。組織の対策状況を評価するもので、リアルタイム監視や攻撃検知とは役割が異なります。

よくある誤解

1. IDSは検出した攻撃を自動で止めると思い込む
   → 自動で遮断するのはIPS（Intrusion Prevention System：侵入防止システム）です。IDSは検知・通知が中心で、人が対応する前提です。
2. IDSはすべての攻撃を見つけられると考える
   → 誤検知（false positive）や見逃し（false negative）があり、チューニングやログ解析が必要です。
3. IDSと脆弱性診断を同じものだと混同する
   → 脆弱性診断は「弱点を見つける事前調査」、IDSは「発生している攻撃を検知する監視」です。目的とタイミングが違います。

補足コラム

• IDSの種類
  • NIDS（Network-based IDS：ネットワーク型）: ネットワークの通信を監視します。通信の流れを見て異常を検出するイメージ。
  • HIDS（Host-based IDS：ホスト型）: 個々のサーバや端末のログやプロセスを監視します。端末内部の異常を検知します。
• 検出方式の違い
  • シグネチャ検出（既知の攻撃パターンに一致させる）
  • アノマリ検出（通常と異なる振る舞いを「異常」とみなす）
    両者を組み合わせることが多く、シグネチャは誤検知が少ない反面未知攻撃に弱く、アノマリは未知攻撃に強いが誤検知が増えやすい特性があります。
• 職場での運用イメージ
  IDSがアラートを上げたら、まずログを分析して誤検知か本番の攻撃かを判断します。重大な攻撃ならインシデント対応（CSIRTやIT担当へ連絡、ネットワーク遮断、復旧作業）へ移ります。誤検知が多ければルールの見直しやしきい値調整を行います。
• アナロジー（例え）
  • 脆弱性診断は「家の鍵や窓の点検」
  • IDSは「泥棒が入ったときに鳴るアラーム」です。点検は侵入前の予防、アラームは侵入時の検知です。

FAQ