情報セキュリティマネジメント 2017年 春期 午前（科目A） 問13

ネットワーク型IDSの目的【情報セキュリティマネジメント解説】

正解の理由

• NIDSはパッシブにネットワークを監視し、不審な通信を「見つける」装置です。
• 検出後はアラート（通知）を出し、人が対応するのが基本的な運用です。 （攻撃を直接止めるのは、後述するNIPSなど別の仕組みになります。）

解法ステップ

1. 用語を確認する：IDSは「侵入検知システム（Intrusion Detection System）」のこと。ネットワーク型ならネットワークの通信を監視する。
2. 各選択肢の役割を短く分類する：
   • 監視・検知・通知 → IDS系
   • 実際に攻撃して確認する → ペネトレーションテスト（攻撃的検査）
   • 損害の大きさを判定する → リスク評価・被害評価
   • サーバのファイル改ざん判定 → HIDSやファイル整合性監視（FIM）
3. NIDSの記述と合致する選択肢を選ぶ（＝監視して検知・通知するもの）。

選択肢別の誤答解説

• ア: 正しい。ネットワークトラフィックを監視して侵入や攻撃の試みを検知し、管理者に通知する（ログやアラートを生成）。
• イ: 誤り。実際に攻撃して検査するのはペネトレーションテスト（侵入試験）や侵入テストツールで、NIDSの役割ではありません。NIDSは観測・検知が目的で、攻撃は行いません。
• ウ: 誤り。損害の大きさを判定するのはリスクアセスメントや被害評価の仕事であり、NIDSの機能ではありません。NIDSは「何が起きているか」を知らせるためのセンサーです。
• エ: 誤り。サーバのファイルの改ざんを検知するのはHIDS（Host-based IDS：ホスト型侵入検知システム）やFIM（File Integrity Monitoring：ファイル整合性監視）で、NIDSはネットワーク上の通信を監視します。

よくある誤解

1. NIDSは攻撃を自動で止めると思い込む
   • 実際はNIDSは検知・通知が主で、自動的に遮断するのはNIPS（Network-based Intrusion Prevention System：ネットワーク型侵入防止システム）やファイアウォールです。NIDSは「警報器」と考えると分かりやすいです。
2. NIDSでサーバ内部のファイル改ざんも分かると思う
   • ファイル改ざんはホスト内部を検査するHIDSやFIMの領域です。NIDSはネットワークの「やり取り」を見ます。
3. 暗号化通信はすべて監視できると思う
   • SSL/TLSで暗号化された通信の中身は、暗号解除（復号）しないと解析できません。NIDSは暗号化の外側（宛先や通信量の異常など）で手掛かりを得ますが、中身のシグネチャ検出は難しいです。

補足コラム

• 署名検出（シグネチャベース）：既知の攻撃パターン（シグネチャ）と照合して検出する。既知攻撃には高精度だが新種には弱い。
• 異常検出（アノマリーベース）：通常の通信パターンから外れる振る舞いを「異常」として検出する。未知の攻撃も見つけやすいが誤検知が出やすい。

• NIDSをネットワークの入口や重要セグメントに設置して常時監視。
• アラートが上がったらまず誤検知かを確認し、必要なら通信ログ（パケット）を解析して対応（遮断、関係者通知、詳細調査）を行う。
• 運用ではシグネチャ更新とチューニング（誤検知の削減）が重要です。

FAQ