IPS（不正侵入防止システム）とは、ネットワークを流れる通信を監視し、不正な通信を見つけた瞬間に自動で遮断する仕組みです。ファイアウォールを通り抜けてくる攻撃にも対応できます。ただし守れる範囲には明確な境界があり、IPSだけであらゆる脅威を防げるわけではありません。この記事では、IPSがどのように不正を検知して遮断するのかという仕組みを説明します。あわせて、IDSやファイアウォール、WAFとの違い、IPSでは防ぎにくいWebアプリケーションへの攻撃とその備えまでをご紹介しますので、ぜひ参考にしてください。
IPSとは、Intrusion Prevention Systemの略で、日本語では不正侵入防止システムと呼ばれます。ネットワークやサーバーを常に監視し、不正アクセスやサイバー攻撃を検知した時点で、管理者の操作を待たずに自動で通信を遮断する点が特徴です。
よく似た仕組みにIDS（Intrusion Detection System、不正侵入検知システム）があります。IDSは不正を検知して管理者へ通知するところまでを担い、実際の遮断は人の手に委ねます。IPSはこのIDSから発展した技術で、検知と通知に加えて自動遮断まで行うため、IDPS（Intrusion Detection and Prevention System、不正侵入検知防止システム）と呼ばれることもあります。
両者の役割の違いは、緊急時の対応速度に表れます。IDSは通知を受けた担当者が状況を確認してから対処するため、判断の時間が必要です。IPSは危険と判断した通信をその場で止めるため、被害が広がる前に食い止められます。ただし自動で止める仕組みである以上、正常な通信を誤って遮断してしまう誤検知のリスクも抱えており、この点は後の運用の項目で扱います。
IPSが必要とされる背景には、境界を守るだけでは防ぎきれない攻撃の増加があります。従来のパケットフィルタリング型のファイアウォールは、送信元・宛先のIPアドレスやポート番号といったヘッダ情報をもとに通信の可否を判断するため、許可された通信になりすまして侵入する攻撃には対応が難しいためです。
独立行政法人情報処理推進機構（IPA）が公表した「情報セキュリティ10大脅威 2026」の組織向けランキングでは、「システムの脆弱性を悪用した攻撃」が4位に選ばれました。この脅威は2016年の初選出以降、11回のうち9回選出されており、直近は6年連続でランクインしています（※）。
脆弱性を突く攻撃は、Webサイトの閲覧で使われる通信などに紛れて侵入を試みるため、通信の中身まで検査しなければ見抜けません。IPSは、ファイアウォールを通過した通信の内容まで踏み込んで監視し、不正な振る舞いを見つけて遮断します。境界防御の内側にもう一段の防御を設けるという位置づけです。
IPSの仕組みは、通信やログを見張る監視と、その中から不正を見つけ出す検知の二つの働きで成り立っています。監視には設置形態による種類があり、検知には不正を判断する方式の違いがあります。さらに、IPSを通信経路のどこに置くかという配置の考え方も、実際の効果と運用に影響します。ここでは監視の方式、検知の方式、配置の特徴の順に見ていきます。
IPSの監視方式は、どこに設置して何を見張るかによって、ネットワーク型、ホスト型、クラウド型の3種類に分かれます。それぞれ監視できる範囲と運用の手間が異なるため、自社の環境に合った方式を選ぶ必要があります。
なお、この3分類は導入形態を含めた実務上の整理であり、分け方は情報源によって異なります。米国国立標準技術研究所（NIST）のガイドラインでは、監視する対象を基準にネットワーク型、無線型、ネットワーク挙動分析（NBA）、ホスト型の4種類に分類しています。（※）
ネットワーク型はNIPS（Network-based IPS）とも呼ばれ、ネットワーク上を流れるパケットと呼ばれるデータの単位を監視します。ホスト型はHIPS（Host-based IPS）とも呼ばれ、監視対象のサーバーに導入して、そのサーバーが受け取るデータやログを見張ります。クラウド型は、事業者が提供するクラウド上の仕組みを利用する形態です。
3つの方式の特徴は次のとおりです。
| 監視方式 | 監視の対象 | 主な特徴 |
|---|---|---|
| ネットワーク型（NIPS） | ネットワークを流れるパケット | 監視範囲が広い。複数ネットワークを守るには各所に設置が必要 |
| ホスト型（HIPS） | サーバーごとの受信データやログ | 個々のサーバーを細かく監視できる。台数が多いと費用がかさむ |
| クラウド型 | 事業者のサービスに準じる | 環境構築が不要で導入しやすい。検知能力は事業者により差がある |
多くの組織では、これらを単独ではなく組み合わせて使います。ネットワーク全体を見張りながら、重要なサーバーには個別の監視を加えるといった運用が一般的です。
IPSが不正を判断する方式には、主にシグネチャ型とアノマリ型の二つがあります。判断の考え方が正反対のため、防げる攻撃の種類と運用の手間が違ってきます。
シグネチャ型は、既知の攻撃パターンを登録した定義ファイル、いわゆるシグネチャと通信を照合し、一致したものを不正と判断する方式です。過去の攻撃をリスト化して照合するため、パターンが明確な攻撃を高い精度で検知できます。一方で、リストにない未知の攻撃には対応しにくく、シグネチャを最新の状態に保ち続ける必要があります。
アノマリ型は、正常な通信の状態をあらかじめ学習し、そこから大きく外れた通信を異常として検知する方式です。通信量が急増したり、普段使われないポートへのアクセスが発生したりした場合に反応します。未知の攻撃やゼロデイ攻撃にも対応できる可能性がある反面、正常な通信を異常と誤って判断しやすく、導入後の細かな調整が欠かせません。
このほか、NISTはもう一つの主要な方式としてステートフルプロトコル解析を挙げています。これは、通信プロトコルごとに定められた正しいやり取りの手順と実際の通信を照合し、想定から外れた振る舞いを不正と判断する方式です。（※）また、セキュリティ担当者が定めた運用ルールに違反する通信を止めるポリシーベースの検知を備える製品もあります。二つの方式の違いは次のとおりです。
| 検知方式 | 判断の基準 | 得意な領域 | 注意点 |
|---|---|---|---|
| シグネチャ型 | 既知の攻撃パターンとの一致 | パターンが明確な既知の攻撃 | 未知の攻撃に弱く、定義の更新が必要 |
| アノマリ型 | 正常な状態からの逸脱 | 未知の攻撃やゼロデイ攻撃 | 誤検知が起きやすく、調整の手間がかかる |
実際の製品では両方式を組み合わせて使うものも多く、自社が想定するリスクに応じて選びます。
IPSは、通信をリアルタイムで遮断するために、通信経路上に直接置くインラインという形で配置されます。通信がIPSを経由してから宛先に届くため、危険な通信をその場で止められます。設置場所はネットワークの境界にあるファイアウォールのすぐ後ろが一般的で、ファイアウォールを突破してきた通信を受け止める第二の防御線として働きます。
この配置には注意点もあります。すべての通信がIPSを通るため、処理による遅延がネットワークの性能に影響する場合があります。また、IPSそのものが停止すると通信全体に支障が及ぶため、経路上の単一障害点になり得ます。導入時には、処理性能に余裕を持たせることや、機器の冗長化を検討することが求められます。
なお、IDSはミラーポートなどを使って通信経路の外から監視する構成が取れるため、その場合は通信そのものに遅延を与えません。まずIDSで動作を観察して調整を進め、運用が固まってからIPSをインラインで導入するという段階的な進め方もあります。
※ 参考：NIST│SP 800-94 Guide to Intrusion Detection and Prevention Systems (IDPS)
IPSと混同されやすいセキュリティ製品に、IDS、ファイアウォール、WAF（Web Application Firewall）があります。いずれも不正な通信から守る仕組みですが、守る対象の層が異なり、どれか一つですべてを守ることはできません。まず全体像を示したうえで、それぞれの違いを見ていきます。
| 製品 | 主に守る対象 | 通信の中身の検査 | 検知後の遮断 |
|---|---|---|---|
| ファイアウォール | ネットワークの出入り口 | 行わない | 設定した条件で通過を制御 |
| IDS | ネットワークからOS・ミドルウェア層 | 行う | 行わず通知のみ |
| IPS | ネットワークからOS・ミドルウェア層 | 行う | 自動で遮断 |
| WAF | Webアプリケーション層 | 行う | 自動で遮断 |
この違いを踏まえると、複数の製品を組み合わせて層ごとに守る多層防御の考え方が見えてきます。以下で個別に説明します。
IPSとIDSの違いは、不正を検知した後に遮断まで行うかどうかにあります。IDSは検知と管理者への通知にとどまり、通信の遮断は行いません。IPSは検知した通信をその場で自動的に遮断します。
そのため、リアルタイムでの防御を重視する場合はIPSが適します。一方で、通信を止めずにまず状況を観察したい段階や、誤検知による業務への影響を避けたい場合には、IDSの通知機能が役立ちます。両者は対立するものではなく、目的に応じて使い分ける関係です。
IPSとファイアウォールの違いは、通信の中身まで検査するかどうかにあります。ファイアウォールは、送信元と宛先のIPアドレスやポート番号といった情報をもとに通信の可否を判断しますが、通信の内容そのものは確認しません。そのため、送信元と宛先が正しければ、中身に不正が含まれていても通過させてしまう場合があります。
IPSは通信の内容まで踏み込んで検査するため、ファイアウォールが見逃す不正な通信を捉えられます。両者を併用することで、出入り口のチェックと中身の検査という二段構えの防御になります。なお近年は、ファイアウォールにIPSの機能を統合した製品も広く提供されており、必ずしも別々の機器として導入するとは限りません。
IPSとWAFの違いは、守る層にあります。WAFはWeb Application Firewallの略で、Webアプリケーションの保護に特化した仕組みです。SQLインジェクションや、利用者のブラウザ上で不正なスクリプトを実行させるクロスサイトスクリプティングといった、アプリケーションの脆弱性を狙う攻撃を防ぎます。
IPSが主に守るのはOSやミドルウェアの層で、WAFが守るのはその上のアプリケーション層です。ただし、守備範囲が完全に分かれるわけではありません。IPSにもWebアプリケーションへの攻撃を対象としたシグネチャが用意されていることがあり、一部は重なります。違いは、Webアプリケーション固有の脆弱性への対応をどこまで作り込んでいるかにあり、その部分を専門に担うのがWAFです。両者は競合せず、層を補い合う関係で併用できます。この層の違いこそが、後の項目で扱うIPSの限界を理解する鍵になります。
IPSには、得意とする攻撃と、仕組み上防ぎにくい攻撃があります。この線引きを理解しておくと、IPSに任せられる範囲と、別の対策が必要な範囲を切り分けられます。
IPSが防御を得意とするのは、主にOSやミドルウェアの層を狙う攻撃です。代表的なものとして、自己複製しながらネットワークに広がるワーム、プログラムが確保したメモリ領域を超えるデータを送り込み、想定外の動作を引き起こすバッファオーバーフロー攻撃、既知のソフトウェアの脆弱性を悪用する攻撃があります。これらは通信の内容やパケットの特徴から判断できるため、IPSの検知方式と相性がよい領域です。
サービスを妨害するDoS攻撃についても、単一の送信元からの異常な通信や、パケットの特徴が明確なものであればIPSで遮断できます。ただし多数の端末から一斉に通信を送り、回線の帯域そのものを埋めるDDoS攻撃には、IPSだけでは対応できません。IPSより手前の回線が飽和してしまえば、IPSに通信が届く前にサービスが停止するためです。IPAの「情報セキュリティ10大脅威 2026」でもDDoS攻撃は組織向け9位に選出されており、CDNやDDoS防御サービスの利用、通信事業者側での対処といった、上流での備えが別途必要になります。
一方で、IPSが守りきれないのがWebアプリケーションの層を狙う攻撃です。データベースを不正に操作するSQLインジェクションや、Webサーバーに不正な命令文を紛れ込ませるOSコマンドインジェクションは、既知の攻撃パターンに合致すればIPSで遮断できる場合もあります。しかし、パターンをずらした攻撃には対応できず、そもそもアプリケーション側に脆弱性が残っている限りリスクはなくなりません。
IPSの守備範囲の外に残るのが、Webアプリケーションの脆弱性を狙う攻撃です。自社でWebサイトやWebサービスを運営している場合、この領域を別の手段で守らなければ、防御に穴が残ります。ここでは、なぜアプリケーション層の攻撃がIPSをすり抜けるのか、そしてどう備えるのかを見ていきます。
アプリケーション層を狙う攻撃がIPSをすり抜けやすいのは、その通信が正常なものと見分けにくいためです。SQLインジェクションのような攻撃は、Webサイトの入力欄など、本来の使い方として用意された経路を通じて仕掛けられます。通信そのものは許可された形式で送られてくるため、パケットの特徴からは不正と判断しづらいのです。
IPSはOSやミドルウェアを狙う攻撃のパターンを検知するのは得意ですが、アプリケーションが受け付ける入力の意味までは判断しません。攻撃者はこの死角を突いて、正規のリクエストを装いながら不正な命令を送り込みます。境界とOS層を固めても、アプリケーション自体に脆弱性が残っていれば、そこが侵入口になります。
なお、IPAは「安全なウェブサイトの作り方」の中で、SQLインジェクションやクロスサイトスクリプティングをはじめとするWebアプリケーションの代表的な脆弱性と、その根本的な対策を示しています（※）。攻撃を入口で止める対策と、脆弱性そのものをなくす対策の両面が必要という考え方です。
アプリケーション層を守るには、WAFによる防御と、脆弱性そのものをふさぐ対策を組み合わせる考え方が有効です。WAFはアプリケーションへの通信を検査し、SQLインジェクションなどの攻撃を遮断します。ただしWAFは、あくまで攻撃を入口で止める防御であり、アプリケーションに潜む脆弱性そのものがなくなるわけではありません。
根本的な備えとして重要になるのが、脆弱性診断です。脆弱性診断とは、Webアプリケーションに攻撃へ悪用され得る弱点がないかを調べ、見つかった問題を修正につなげる取り組みです。診断で穴を特定してふさぎ、WAFで運用中の攻撃を防ぐという二段の備えによって、アプリケーション層のリスクを下げられます。
脆弱性診断には、ツールによる自動診断と、専門の技術者が手作業で行う診断があり、それぞれ得意な領域が異なります。
自動診断は、短時間で広い範囲を機械的に調べられる点が強みです。定期的なリリースのたびに全体を通して検査したい場合や、まず自社の状況を把握したい段階では、自動診断が現実的な選択になります。
一方、複数の機能をまたいで初めて成立する問題や、そのアプリケーション固有の業務ロジックに潜む欠陥は、検出パターンに沿った機械的な判定では見つけにくい領域です。実際の攻撃者は、用意されたパターンに収まらない方法で弱点を探します。攻撃者と同じ視点でアプリケーションの挙動を追うには、専門技術者による手動の脆弱性診断やペネトレーションテストが必要になります。
重要なのは、どちらか一方を選ぶことではなく、対象システムの重要度と開発サイクルに合わせて使い分けることです。
ペネトレーションテストとは、実際に攻撃を試みることで、侵入の可否や被害の範囲を確かめる検査です。ユービーセキュアは、専門技術者による手動の脆弱性診断とペネトレーションテストを提供しており、自動化だけでは見えにくいリスクの把握を支援しています。
IPSは導入して終わりではなく、運用の段階でいくつかの課題に向き合う必要があります。あらかじめ知っておくと、導入後のつまずきを減らせます。主な課題は、誤検知への対応、暗号化された通信の扱い、運用体制の確保の三つです。
まず誤検知への対応です。IPSは不正と判断した通信を自動で遮断するため、設定が適切でないと正常な業務通信まで止めてしまう場合があります。とくにアノマリ型では、正常な状態の学習が不十分だと誤検知が増えます。導入直後に検知のルールを調整し、運用しながら継続的に見直す作業が欠かせません。
次に暗号化された通信の扱いです。近年はWebの通信の多くが暗号化されており、暗号化されたままでは中身を検査できません。暗号化通信を検査するには復号する仕組みが別途必要になり、その分だけ処理の負荷や設計上の考慮が増えます。
最後に運用体制の確保です。IPSが出す検知の記録を確認し、誤検知かどうかを判断して調整する作業には、担当者の関与が必要です。導入する製品のサポート体制や、社内で対応できる人員を事前に見込んでおくことが求められます。
IPSは、通信の中身まで検査して不正を自動で遮断する仕組みであり、ファイアウォールを通過してくる脆弱性狙いの攻撃に対する有効な防御です。ワームやバッファオーバーフローといった、OSやミドルウェア層への攻撃に強みを持ちます。
一方で、IPSがすべての脅威を防ぐわけではありません。SQLインジェクションに代表されるWebアプリケーション層への攻撃は、IPSの守備範囲の外にあります。ファイアウォール、IPS、WAFがそれぞれ異なる層を担い、これらを組み合わせる多層防御によって、はじめて幅広い脅威に対応できます。
次の一歩として、自社のシステムがどの層をどの製品で守っているかを確認し、抜けている層がないかを見直すことをおすすめします。とくにWebアプリケーションを運営している場合は、WAFによる防御に加えて、脆弱性そのものをふさぐ脆弱性診断まで含めて備えられているかを確かめる価値があります。IPSを含む各層の役割を理解したうえで、自社の守備範囲を設計することが、実効性のあるセキュリティ対策につながります。