NDISとは？ わかりやすく10分で解説

NIDS（Network Intrusion Detection System）は、ネットワーク上を流れる通信を監視し、攻撃の兆候や不審な通信を検出する仕組みです。役割は主に検知と調査の起点づくりであり、通信を自動で止めることが主目的ではありません。

向いているのは、組織全体の通信を広く見て、侵害の兆候を早めに拾いたい場面です。一方で、暗号化通信の中身を直接見られない、誤検知の調整が必要、端末内部の原因特定は苦手、といった限界もあります。導入判断では「入れるかどうか」より、どこに置き、何を見て、検知後にどう動くかまで決めておくことが重要です。

NIDSとは

NIDSは、ネットワーク上のトラフィックを監視して、不正アクセス、マルウェア感染後の外向き通信、探索行為、横展開の兆候などを見つける仕組みです。監視対象は端末そのものではなく通信なので、個別端末だけでは見えにくい動きも把握しやすくなります。

たとえば、C&C サーバーへの通信、不自然なDNS問い合わせ、短時間の大量接続、普段使わないポートの利用などは、NIDSが拾いたい代表的な兆候です。重要なのは、NIDSは「攻撃を確定する装置」ではなく、調査すべき通信を絞り込むための装置だという点です。

NIDSとIPSの違い

NIDSと混同されやすいのがIPSです。NIDSは基本的に検知が主役で、通信のミラーやコピーを見てアラートを出します。いっぽうIPSは通信経路上に置かれ、条件に合う通信を遮断する役割まで持ちます。

つまり、NIDSは「気付くための仕組み」、IPSは「止める仕組み」に寄っています。検知の精度が十分でない状態で最初から遮断を強くかけると、正規通信まで止める危険があるため、まずNIDSで監視を始めてから、必要なものを段階的に遮断へつなげる設計が現実的です。

NIDSとEDRの違い

EDRは端末内部の挙動を追うのが得意で、プロセス実行、レジストリ変更、ファイル作成、権限昇格といった情報を見ます。NIDSは通信を見るので、同じ侵害でも見ている場所が違います。

たとえば、NIDSが「この端末から不審な外向き通信が出ている」と見つけ、EDRが「その通信を発生させたプロセスは何か」を追う、という関係です。どちらか一方で十分というより、兆候の発見はNIDS、端末内の原因特定はEDRという補完関係で考えたほうが実務に合います。

NIDSが監視するもの

シグネチャベースと異常検知

NIDSの検出方法は、大きく分けるとシグネチャベースと異常検知の2系統です。

• シグネチャベース：既知の攻撃パターンやルールに合致する通信を検出する
• 異常検知：通常時とは違う頻度、通信先、時間帯、通信量などを検出する

前者は既知の攻撃に強く、後者は未知の兆候に気付きやすい反面、誤検知が増えやすくなります。実運用では、既知の攻撃はルールで堅く拾い、未知の兆候は異常検知で補う形が基本です。

暗号化通信が増えた環境で見えるもの

今のネットワークでは暗号化通信が多く、NIDSが常に通信の中身まで見られるとは限りません。VPN、HTTPS、SSHなどの通信は、設置場所によってはペイロードを直接確認できません。

そのため、現在のNIDS運用では「中身が見えない前提」で設計する必要があります。具体的には、次のような情報が重要になります。

• 送信元と宛先のIPアドレス
• ポート、プロトコル、通信方向
• 通信量、継続時間、接続頻度
• ドメイン名や名前解決の傾向
• 通常時と比べた逸脱

つまり、暗号化通信が増えたからNIDSが無意味になるわけではありません。ただし、ペイロードの検査だけで何とかしようとする発想は通用しにくいということです。必要に応じて、復号後の区間で監視するか、端末側や他のログと組み合わせて見ます。

検出できる兆候の例

NIDSが捉えやすいのは、ネットワーク上に行動の痕跡が残るタイプの攻撃です。たとえば次のようなものがあります。

• 脆弱性スキャンやポートスキャン
• 不正ログイン試行やパスワードスプレー
• マルウェア感染後の外向き通信
• 社内での横展開に使われる不自然なアクセス
• 大量送信や継続的な外部通信による情報持ち出しの兆候

逆に、端末内だけで完結する挙動や、正規ツールを使った静かな内部不正は、NIDS単体では判断しにくいことがあります。ここを理解せずに「NIDSを入れたから見逃しがなくなる」と考えるのは危険です。

NIDSの置き方と基本構成

どこに置くかで価値が変わる

NIDSは「置けば効く」製品ではありません。どこにセンサーを配置するかで、見える通信と見えない通信が大きく変わります。典型的には、境界、重要サーバーの手前、DMZ、拠点間接続、インターネット向け出口などが候補になります。

設置場所を誤ると、見たい通信がそもそも取れません。たとえばインターネット境界だけを見ていても、社内の横展開や重要サーバー間通信は十分に把握できないことがあります。監視対象を先に決め、その通信が必ず通る場所に置くべきです。

ミラーポートとTAP

NIDSは、通信を止めずに観測する用途では、スイッチのミラーポートやネットワークTAPからトラフィックのコピーを受けて監視する構成が一般的です。これにより、本番通信の経路に直接入らず、まずは受動的に監視できます。

この構成は業務影響を抑えやすい一方で、コピーの欠落や可視範囲の不足があると検知精度が下がります。NIDSの設計では、検出ロジックだけでなく、トラフィックを取りこぼさない取り方まで含めて考える必要があります。

典型的な構成要素

NIDSは一般に、次の要素で構成されます。

• センサー：通信を取得して解析する
• 管理サーバー：イベントを集約し、ルールや設定を管理する
• コンソール：運用者がアラート確認、調査、チューニングを行う

規模が大きい環境では、複数センサーを分散配置して、中央で集約する構成が現実的です。重要なのは、アラートの量ではなく、あとから調査できるだけの情報が残るかです。

NIDSが向くケースと向かないケース

要するに、NIDSは「見る仕組み」が必要な環境には向いていますが、見つけた後の運用がない組織には定着しにくいということです。

他のセキュリティ対策との連携

ファイアウォールとの役割分担

ファイアウォールは通信の許可と遮断を担当します。NIDSはその通信の中に不審な兆候がないかを見る役割です。ファイアウォールだけでは「許可された通信の中にある不審さ」は見えにくく、NIDSだけでは止める力が弱いので、役割分担が必要です。

現実的な運用は、NIDSで兆候を見つけ、調査結果に応じてファイアウォール側の制御に反映する流れです。検知と遮断をいきなり一体化すると、誤検知の業務影響が大きくなります。

EDRとの連携

不審な通信を見つけても、その原因プロセスや侵害経路が分からなければ封じ込めは進みません。そこでEDRと連携し、NIDSが検知した端末の端末ログ、実行ファイル、プロセス、権限変更を追うことで、調査の精度が上がります。

SIEMとの連携

単発のアラートだけでは、攻撃の流れが見えないことがあります。SIEMにNIDSのイベントを集約し、認証ログや端末ログ、DNSログなどと相関を取ると、「何が起点で、どこまで広がったか」を把握しやすくなります。

NIDSの価値は、単独製品の性能だけでなく、他の観測点とつながったときにどこまで調査が前に進むかで決まります。

NIDS導入時の注意点

誤検知は前提として扱う

誤検知をゼロにする前提で導入すると失敗します。特に異常検知は、業務の変化や一時的な負荷変動も拾いやすいため、例外登録、優先度設計、ルール調整が必要です。

重要なのは、すべてのアラートを同じ重みで扱わないことです。高、中、低で優先順位を分け、一次切り分けの基準を決めておかないと、運用者がアラート処理に埋もれます。

暗号化通信下での限界を見誤らない

NIDSは万能ではありません。暗号化通信の中身まで常に見えるわけではなく、設置場所によってはヘッダーやメタデータしか見られません。したがって、「NIDSを入れたから暗号化通信の脅威も全部見える」は誤りです。

必要なら復号後の監視、端末ログとの連携、クラウド側のログ活用まで含めて設計するべきです。NIDS単体で完結させようとすると、見えない部分が必ず残ります。

検知後の初動フローを先に決める

NIDS導入で最初に決めるべきなのは製品名ではなく、検知後の動きです。少なくとも次の項目は事前に整理しておく必要があります。

• アラートの優先順位
• 一次切り分けの担当者
• 確認手順（宛先、端末、関連ログ、ユーザー）
• 封じ込め判断の条件
• 誤検知時の調整ルール

ここがないまま導入すると、NIDSは「アラートを増やす箱」になりやすいです。製品の問題ではなく、運用設計の不足です。

まとめ

NIDSは、ネットワーク通信を監視して攻撃の兆候や不審な通信を見つける仕組みです。強みは、端末単位では見えにくい動きを組織全体の通信から拾える点にあります。

ただし、NIDSだけで防御が完結するわけではありません。暗号化通信の制約、誤検知の調整、検知後の初動、EDRやSIEMとの連携まで含めて設計して、はじめて実効性が出ます。導入判断では「NIDSが必要か」ではなく、どの通信を観測し、何を検知し、その後どう動くかを具体化することが先です。