サイバー攻撃と防御の実務
IDSの検知の方式のうち、シグネチャ型(不正検出型)とアノマリ型(異常検出型)を比べた説明として、正しいものはどれか。
- Aシグネチャ型は既知の攻撃の特徴との一致で検知するので未知の攻撃を見逃しやすく、アノマリ型はふだんからのずれで検知するので未知の攻撃にも気づけるが誤検知が多い
- Bシグネチャ型は登録されていない未知の攻撃も確実に検知でき、アノマリ型は登録された既知の攻撃しか検知できない
- Cアノマリ型はふだんの状態を学ぶ必要がないので、導入した直後から誤検知なく使え、シグネチャの更新も要らない
答えと解説を見る
正解：A. シグネチャ型は既知の攻撃の特徴との一致で検知するので未知の攻撃を見逃しやすく、アノマリ型はふだんからのずれで検知するので未知の攻撃にも気づけるが誤検知が多い
シグネチャ型は、既知の攻撃の通信の特徴(シグネチャ)をあらかじめ登録し、一致するものを検知します。登録された攻撃は正確に見つけられますが、新しい攻撃や、特徴を少し変えた攻撃は見逃しやすく、シグネチャを常に更新する必要があります。アノマリ型は、通信の量や時間帯、接続先などのふだんの状態(ベースライン)を学び、そこから大きくずれたものを検知するので、未知の攻撃に気づける可能性があります。一方、正常でも珍しい通信を異常と判断しやすく、誤検知が増えるので、実際には両方を組み合わせて使います。
- A. 正しい。既知の攻撃に強いシグネチャ型と、未知の攻撃に気づけるが誤検知の多いアノマリ型を組み合わせます。
- B. 逆です。シグネチャ型は、登録されていない未知の攻撃を見逃しやすくなります。
- C. アノマリ型は、ふだんの状態を学ぶ期間が必要で、誤検知も多くなりやすい方式です。