IPS のインライン化
A 社は，ネットワーク型 IDS をスイッチのミラーポートに接続して運用してきたが，攻撃通信を遮断するために，インターネットとの境界にネットワーク型 IPS をインライン構成で設置することにした。インライン構成への変更に当たって検討する内容として，最も適切なものはどれか。
- ア誤検知による業務通信の遮断を避けるため，導入当初は遮断を行わずに遮断の対象となる通信を記録する動作で運用し，設定を調整してから遮断を有効にする。
- イインライン構成では通信の複製を受信して検査するので，監視対象の通信量に合わせて，スイッチのミラーポートの帯域を増強する。
- ウインライン構成の IPS は暗号化された通信の内容もシグネチャと照合できるので，TLS 通信を復号している装置を撤去する。
- エインライン構成の IPS はネットワークを経由しないサーバ内部の不正操作も検知できるので，サーバに導入しているホスト型 IDS を撤去する。
正解と解説を見る
正解 ア
この問題の基礎知識
- IDS は不正な通信を検知して通知する仕組み，IPS は検知した通信の遮断まで行う仕組みである。
- ミラーポートで通信の複製を受け取る構成は通信経路に影響しないが遮断はできない。通信経路上に置くインライン構成は遮断できる反面，装置の処理能力や障害が通信全体に影響する。
- 誤検知（false positive）は正常な通信を攻撃と判定すること，検知漏れ（false negative）は攻撃を見逃すことであり，遮断を行う装置では誤検知が業務通信の停止につながる。
- ネットワーク型は通過するパケットを検査するので，暗号化された通信の中身は復号しない限り検査できず，サーバ上の操作やファイルの改ざんの監視はホスト型の役割である。
ア誤検知による業務通信の遮断を避けるため，導入当初は遮断を行わずに遮断の対象となる通信を記録する動作で運用し，設定を調整してから遮断を有効にする。正解
インライン構成の IPS は攻撃と判断した通信を遮断できる反面，誤検知した正常な通信も遮断する。遮断せずに遮断の予定を記録するシミュレーションモードなどで運用し，調整してから遮断を有効にすると，誤遮断のリスクを下げられる。
イインライン構成では通信の複製を受信して検査するので，監視対象の通信量に合わせて，スイッチのミラーポートの帯域を増強する。
通信の複製をミラーポートから受信するのはパッシブ型（非インライン）の構成である。インライン構成では通信が IPS 自体を通過するので，IPS の処理能力や高負荷時の動作を検討する必要がある。
ウインライン構成の IPS は暗号化された通信の内容もシグネチャと照合できるので，TLS 通信を復号している装置を撤去する。
IPS をインライン構成にしても，暗号化された通信の中身が見えるようになるわけではない。TLS 通信の中の攻撃を検査するには，復号後の通信を監視できる位置に設置するか，復号を行う装置やホスト型を併用する必要がある。
エインライン構成の IPS はネットワークを経由しないサーバ内部の不正操作も検知できるので，サーバに導入しているホスト型 IDS を撤去する。
ネットワーク型の IPS が検査できるのは通過するパケットだけで，サーバ上でのローカルな操作やファイルの改ざんは検知できない。これらの監視はホスト型 IDS の役割である。
検証用の出典出典照合済み
NIST SP 800-94 Guide to Intrusion Detection and Prevention Systems (IDPS)照合の根拠（5 件）
- ア（正解）: 遮断を抑止して遮断の予定を示すシミュレーションモードがある
Some IDPS sensors have a learning or simulation mode that suppresses all prevention actions and instead indicates when a prevention action would have been performed.
NIST SP 800-94 · Section 3.2.4（新しいタブで開きます） - ア（正解）: 調整してから遮断を有効にすることで，正常な通信を誤って遮断するリスクを下げる
This allows administrators to monitor and fine-tune the configuration of the prevention capabilities before enabling prevention actions, which reduces the risk of inadvertently blocking benign activity.
NIST SP 800-94 · Section 3.2.4（新しいタブで開きます） - イ（誤り）: 通信の複製を監視するのはパッシブ型。インライン型は通信が装置を通過する
Passive. A passive sensor is deployed so that it monitors a copy of the actual network traffic; no traffic actually passes through the sensor.
NIST SP 800-94 · Section 4.1.2（新しいタブで開きます） - ウ（誤り）: ネットワーク型は暗号化された通信の中の攻撃を検知できない
Network-based IDPSs cannot detect attacks within encrypted network traffic, including virtual private network (VPN) connections, HTTP over SSL (HTTPS), and SSH sessions.
NIST SP 800-94 · Section 4.3.4（新しいタブで開きます） - エ（誤り）: システムログ，プロセス，ファイルなどホスト内部の監視はホスト型の役割（ネットワーク型はネットワークの通信を監視する）
Examples of the types of characteristics a host-based IDPS might monitor are network traffic (only for that host), system logs, running processes, application activity,
NIST SP 800-94 · Section 2.3（新しいタブで開きます）