解説

IPS（Intrusion Prevention System）とIDS（Intrusion Detection System）は配置方式と検知方式の2軸で分類される。配置方式：インラインモードはネットワークの通信経路上にIPSを物理的に挿入し、全パケットを経由させることで検知した攻撃をリアルタイムに遮断できる。アウトオブバンドモード（タップ/ミラーポート接続）は経路外でパケットをコピーして監視するため、検知はできても能動的な遮断はできない（TCPリセットパケット送信などで対応）。検知方式：シグネチャ型（不正検知型）は既知の攻撃パターンのデータベースと照合し一致すれば不正と判断する。アノマリ型（異常検知型）は通常時の通信パターンをベースラインとして学習し、そこから外れた通信を異常と判断する。未知の攻撃にも対応できる一方、誤検知率が高くなりやすい。問題の正解はインライン（経路上設置）かつアノマリ型（正常からの逸脱を検知）の組み合わせ。

なぜ他の選択肢は違うのか

選択肢 ア

「スイッチのミラーポートに接続」はアウトオブバンド（経路外）配置を示し、インラインモードではない。また「異常な通信を定義してそれと合致するものを不正と判断」はシグネチャ型（不正検知型）の説明。つまりアウトオブバンド配置のシグネチャ型IPSの説明であり、「インラインモードのアノマリ型」の条件を二つとも満たしていない。

選択肢 イ

「スイッチのミラーポートに接続」はアウトオブバンド（経路外）配置を示し、インラインモードではない。かつ「通常時の通信を定義してそれから外れた通信を不正と判断」はアノマリ型の検知方式。アウトオブバンド配置のアノマリ型IPSの説明であり、インラインモード（経路内設置・遮断可能）という条件を満たしていないため正解ではない。

選択肢 ウ

「通信を通過させるように通信経路上に設置」はインライン配置を正しく示している。しかし「異常な通信を定義してそれと合致する通信を不正と判断」はシグネチャ型（不正検知型）の説明。既知の攻撃パターンデータベースと照合するシグネチャ型であり、正常パターンからの逸脱を検知するアノマリ型ではないため正解ではない。

解くときのポイント

IPS/IDSの分類: ①配置方式（インライン=遮断可能 vs アウトオブバンド=検知のみ）×②検知方式（シグネチャ型=既知パターン照合 vs アノマリ型=正常からの逸脱検知）の組み合わせで4通り。