侵入検知システム(IDS)とは

正解：B. IDSは不正の疑いを検知して管理者に知らせ、IPSは通信の経路の途中に置かれて、不正と判断した通信を遮断する

IDSは、ネットワークを流れる通信(または端末の動き)を監視し、攻撃の疑いを見つけると警告を出します。通信の写しを受け取って調べる形で置かれることが多く、正常な通信を誤って攻撃と判断しても業務は止まりませんが、遮断は人や別の仕組みに任せます。IPSは、通信の経路の途中(インライン)に置かれ、攻撃と判断した通信をその場で遮断できます。その代わり、誤検知があると正常な業務の通信まで止めてしまい、装置の故障や処理の遅れが通信全体に影響するので、どの規則で遮断するかを慎重に調整します。

正解：A. シグネチャ型は既知の攻撃の特徴との一致で検知するので未知の攻撃を見逃しやすく、アノマリ型はふだんからのずれで検知するので未知の攻撃にも気づけるが誤検知が多い

シグネチャ型は、既知の攻撃の通信の特徴(シグネチャ)をあらかじめ登録し、一致するものを検知します。登録された攻撃は正確に見つけられますが、新しい攻撃や、特徴を少し変えた攻撃は見逃しやすく、シグネチャを常に更新する必要があります。アノマリ型は、通信の量や時間帯、接続先などのふだんの状態(ベースライン)を学び、そこから大きくずれたものを検知するので、未知の攻撃に気づける可能性があります。一方、正常でも珍しい通信を異常と判断しやすく、誤検知が増えるので、実際には両方を組み合わせて使います。