IDSとIPSの違いとは、検知だけか遮断までかで分かれる役割と設置位置、検知方式

IDS(Intrusion Detection System、侵入検知システム)は、ネットワークや端末を流れる通信を監視し、不正の疑いがあるものを見つけて管理者に知らせる仕組みです。IPS(Intrusion Prevention System、侵入防止システム)は、検知に加えて、その通信を止めるところまで自動で行います。違いを一言でいえば、IDSは「見張って知らせる」、IPSは「見張って止める」です。

止めるためには、IPSは通信の通り道そのものに割り込む必要があります。このため、両者は設置する位置も、誤検知が起きたときの影響も、機器が故障したときの影響も変わります。この記事では、米国立標準技術研究所(NIST)のガイドSP 800-94と、オープンソースのIDS/IPSであるSuricataの公式ドキュメントをもとに、両者の違いと選び方の考え方を整理します。

IDSとIPSの違いを一覧で比べる#

まず、運用で差が出る点を並べます。

IDSは、通信を止めない代わりに対処を人に委ねます。IPSは、自動で止められる代わりに、判断を誤ったときの影響が業務に直接及びます。多くの製品は同じ機器を設定でIDSとしてもIPSとしても動かせるため、実際の選択は「どの通信を、どの確度なら自動で止めてよいか」という運用の判断になります。

あわせて読みたい

ファイアウォールが通信を許可と拒否で仕分ける仕組み

NISTが定めるIDPSという呼び方と4つの種類#

NISTは2007年2月に、IDSとIPSの設計、導入、運用の指針としてSP 800-94「Guide to Intrusion Detection and Prevention Systems (IDPS)」を公表しました。両者は検知の仕組みを共有しているため、SP 800-94はまとめてIDPSと呼んでいます。2012年に改訂版のドラフト(Revision 1)が出ましたが正式版にはならず、NISTは寄せられたコメントが現在の技術や脅威モデルに当てはまらなくなったとして、このドラフトを取り下げています。執筆時点でもSP 800-94の正式版は2007年版です。

SP 800-94は、監視する場所によってIDPSを4つに分けています。

一般に「IDS」「IPS」というと、ネットワーク型を指すことがほとんどです。ホスト型の役割は、現在では端末の挙動を記録して調べるEDR(Endpoint Detection and Response)が担うことが多くなっています。

不正を見分ける3つの検知方式#

SP 800-94は、検知の方式を3つに整理しています。多くの製品は、これらを組み合わせて使います。

シグネチャ型は、ルールを最新に保つことが前提です。新しい脆弱性が公表されると、製品のベンダーやルールの提供元が対応するシグネチャを配信します。たとえばPalo Alto Networksは、2026年10月に公表したPAN-OSの脆弱性CVE-2026-0322のアドバイザリで、脅威防御の特定のシグネチャを有効にすると限定的に攻撃を防げると案内しています。ただしこうしたシグネチャは修正版の代わりにはならず、更新までの時間を稼ぐ手段と考えます。

アノマリ型は、何を平常とみなすかで精度が決まります。学習の期間に攻撃がすでに紛れていると、その通信を平常として覚えてしまう点にも注意が必要です。

インライン設置とパッシブ設置の違い#

IDSは、スイッチのミラーポート(SPAN)やネットワークTAPで通信のコピーを受け取る形で置きます。コピーを見るだけなので、IDSが止まっても業務の通信は流れ続けます。

IPSは、ルーターやファイアウォールと同じように通信の経路上に置きます。Suricataの公式ドキュメントは、IPSモードを「通信のフィルタとして動くモード」と説明し、レイヤー2のブリッジ(AF_PACKETなど)か、レイヤー3のルーティング(NFQueueなど)の形で経路に入ると書いています。既定ではすべての通信を通し、drop(破棄)やreject(拒否の応答を返す)のルールに一致した通信だけを止めます。

経路上に入ることで、IDSには無い考慮が生まれます。

• 検査の方法が変わります。SuricataはIDSモードではTCPの通信を受信確認(ACK)の後に検査しますが、IPSモードでは届いたデータをすぐに検査します。止めるためには、通信が相手に届く前に判断を終える必要があるからです。
• 異常時の扱いを決める必要があります。SuricataはIPSモードでは、解析の失敗や内部の資源の上限に達したときの扱い(例外ポリシー)を既定で遮断にしています。解析できない通信を素通しにすると、攻撃者がわざと解析を失敗させてルールをすり抜けられるためです。一方で、この設定は機器の負荷が高いときに業務通信が止まることも意味します。
• 処理の性能がそのまま通信の性能になります。機器の処理が追いつかないと、遅延や通信の取りこぼしが起きます。

IPSの機器が故障したときに通信を通すか止めるかは、製品の機能(バイパス機能など)と設計で決まります。止める側に倒すと守りは固くなり、通す側に倒すと業務は止まりません。どちらを選ぶかは、守る対象の重要度と業務への影響を比べて決めます。

あわせて読みたい

通信を取りこぼさずに記録するネットワークTAPとミラーポート機器の選び方

ファイアウォール、WAF、UTM、EDRとの関係#

IDS/IPSは、ほかの防御の仕組みと役割を分けて使います。

ファイアウォールは「誰が、どこへ」を見て通信を通し、IPSは通った通信の中身に攻撃が無いかを見ます。両者は置き換えではなく、重ねて使うものです。MITRE ATT&CKも、ネットワークの境界でシグネチャを使って攻撃の通信を止める対策を、Network Intrusion Prevention(M1031)として多くの攻撃手法の緩和策に挙げています。

ネットワーク型のIDS/IPSには見えない領域もあります。暗号化された通信の中身は、復号しない限り検査できません。HTTPSが主流になった現在、ネットワーク型だけでは見えない攻撃が増えているため、TLSの復号を行う機器や、端末側のEDR、サーバーのログと組み合わせて補います。

あわせて読みたい

WAFの役割と限界、正しい使い方。シグネチャと振る舞い、回避される前提、根本対策との補完

監視が役に立つ場面の例#

IDSは、攻撃を止められなかった後の発見にも役立ちます。2026年10月に悪用が確認されたCisco Secure Email GatewayのCVE-2026-76519について、Ciscoは、侵入に成功した攻撃者が機器の中の痕跡を消せるため、機器の外側にあるネットワークのログと照合して、外部への想定外の通信を調べるよう推奨しています。侵入された機器自身のログは信用できなくなるため、別の場所から通信を見ているIDSやネットワークのログが、侵害に気づく手がかりになります。

あわせて読みたい

Cisco Secure Email GatewayのCVE-2026-76519がKEV入り、添付ファイル経由でroot権限に至る脆弱性の影響条件と修正版

誤検知と見逃しへの備え#

IDS/IPSの運用で最も時間を取られるのは、誤検知(正しい通信を攻撃と判定する)と見逃し(攻撃を正しい通信と判定する)の調整です。SP 800-94も、導入後のチューニングを継続して行うよう求めています。

あわせて読みたい

ログ管理の基本。何を・どこまで・どれだけ残すか

まとめ#

IDSは不正な通信を見つけて知らせる仕組み、IPSは通信の経路上で見つけた通信を止める仕組みです。IPSは自動で止められる代わりに、誤検知や機器の不調が業務通信の停止に直結するため、検知だけで動かして調整してから遮断に切り替えるのが基本の進め方です。検知方式にはシグネチャ型、アノマリ型、ステートフルプロトコル解析があり、それぞれ得意な攻撃が異なります。暗号化された通信や端末の中の動きは見えないため、ファイアウォール、WAF、EDR、ログ基盤と組み合わせて使います。検知の検証や攻撃通信の再現は、自組織が管理し許可を得た環境に限って行ってください。

この記事は2026年10月15日時点の情報に基づいています。製品の機能や設定の名前は版によって変わるため、導入する製品の公式ドキュメントで確認してください。