侵入検知システム
IDPSの多くは以下の機能を備えている:
イベントの監視、解析、および望ましくない活動の識別機能
観測したイベントに関する情報の記録:ローカルな記録機能はもちろん、SIEMやエンタープライズ管理システムと連携してそれらで情報を統合管理できる機能がある場合がある。
観測した重要なイベントをセキュリティ管理者に通知(アラート)する機能:通知方法としてはメール、ページャ、専用UI、SNMPトラップ、syslog、ユーザスクリプト利用などがある。
報告書の作成機能:監視イベントの概要、注目すべきイベントの詳細情報などの報告書を生成する。
さらに次の機能を備えている場合もある:
セキュリティプロファイルの更新機能:例えば、悪意のある通信を検知した場合のみ通常より詳細に情報収集したり、事前に設定された特定のトリガに合致した場合のみアラートの優先度を変えたりする機能。
IPSの場合は攻撃阻止機能も備えており、阻止方法としては以下のものがある:
IPS自身による攻撃阻止:攻撃と判断されたネットワーク接続やユーザセッションの終了、攻撃者のものと判断されたユーザアカウントやIPアドレスの遮断、攻撃の標的になったホスト、サービス、アプリケーションなどのリソースの遮断。
他の機器のセキュリティ設定の変更:例えばルータやスイッチのようなネットワーク装置や(ホストベースないしネットワークベースの)ファイヤーウォールのルールのルールを変更して攻撃を遮断したり、パッチを自動適用したりする。
攻撃の無害化:例えばマルウェアと判断された添付ファイルを電子メールから除去したり、プロキシとして機能して通信のヘッダ情報を破棄してペイロードをパッケージ化するような正規化の作業を行ったりするなど。