【情報セキュリティマネジメント】セキュリティ製品の使い分け、守る場所と処理で見分ける｜IDS・IPS・WAF・EDR

2026.08.27

セキュリティ製品は、守る対象・配置場所・判断材料・検知後の処理が異なります。

科目Bでは、「何を守るか」「どこで働くか」「検知後に何をするか」を読み取ります。

読み終えるころには、事例に出てくる製品がどの場所で何を判断材料にしているかから候補を絞り、導入後に何を続ける必要があるかを確認できるようになります。

先に結論：守る対象と役割から候補を絞る

製品・仕組み 主な対象・場所 中心となる役割
ファイアウォール ネットワーク間 ルールに基づき通信を許可・拒否する
IDS ネットワークやホスト 不審な通信・事象を検知し、主に通知する
IPS 主に通信経路上 不審な通信を検知し、遮断する
WAF Webアプリケーション Webアプリを狙う攻撃を検知・遮断する
EDR PCやサーバなどの端末 端末の挙動を記録・分析し、調査や隔離を支援する
SIEM 複数機器・サービスのログ ログを集約し、横断的・相関的に分析する
DLP 組織の重要なデータ 不適切な利用・持出しを検知・制御する
DMZ 外部と内部の間 公開システムを内部ネットワークから分離する
検疫ネットワーク 業務ネットワークへの接続前 基準未達端末を隔離し、適合後に接続させる
Webアイソレーション Web閲覧環境 Webコンテンツの実行環境を端末から分離する
UTM ネットワーク境界など 複数のセキュリティ機能を統合する

実製品は機能が重なるため、設問で中心となる役割を確認します。

SGシラバスでの位置付け

SGシラバス Ver.4.1には、技術的セキュリティ対策としてDMZ、検疫ネットワーク、ネットワーク監視、侵入検知、侵入防止が、セキュリティ製品・サービスとしてEDR、DLP、SIEM、ファイアウォール、WAF、IDS、IPS、UTM、フォールスネガティブ、フォールスポジティブ、Webアイソレーションなどが明示されています。IDSは侵入検知、IPSは侵入防止にあたります。

1．ファイアウォールとWAF：見る場所が違う

ファイアウォールは、ネットワークやホストの間を流れる通信について、通信元・通信先のアドレス、ポート番号、プロトコルなどのルールに基づき、許可又は拒否します。

例えば、外部から社内データベースへの直接接続を拒否し、公開Webサーバへの必要な通信だけを許可します。WAFはWebアプリケーションへの通信を確認し、SQLインジェクションやクロスサイトスクリプティングなどを検知・遮断します。

  • ファイアウォール：その通信を通してよいか
  • WAF：Webアプリケーションへの通信に攻撃が含まれていないか

WAFを導入しても脆弱性は残る

WAFで攻撃経路を一時的に抑えても、アプリケーションの欠陥そのものが修正されるわけではありません。

脆弱性が見つかった場合は、WAFを防御層として利用しながら原因箇所の修正と試験を進めます。「WAF導入後は修正不要」という判断は不適切です。

2．IDSとIPS：通知か、遮断まで行うか

IDSは、不審な通信やシステム上の事象を検知し、担当者へ通知することを中心とします。

IPSは、検知に加えて不審な通信を遮断するために利用され、主に通信経路上へ配置されます。

  • 自動遮断を行わず検知結果を確認したい：IDS
  • 通信経路上で不正通信の遮断まで行いたい：IPS

検知のみのモードもあるため、運用方針で判断します。

IPSは検証してから段階的に適用する

新しい検知ルールを直ちに遮断へ使うと、正常な業務通信を攻撃と誤判定して止めるおそれがあります。

  1. 検知のみで業務通信への影響を確認する
  2. 検知内容を分析し、条件を必要な範囲で調整する
  3. 遮断へ移す条件と切戻し方法を決める
  4. 影響を確認しながら段階的に適用する

誤検知ルールを無条件に除外すると、攻撃を見逃す可能性があります。

3．フォールスポジティブとフォールスネガティブ

セキュリティ製品の検知結果は、常に正しいとは限りません。

  • フォールスポジティブ：正常なものを攻撃と誤判定する
  • フォールスネガティブ：攻撃を正常と誤判定して見逃す

条件を緩めすぎると見逃しが増えるため注意します。

ログ運用の詳細は「ログ管理と監視」の記事で扱います。

4．EDRとSIEM：端末を見るか、複数ログを横断するか

EDRは、PCやサーバなどのエンドポイントで発生するプロセス起動、ファイル操作、通信などを記録・分析し、不審な挙動の検知、調査、端末隔離などを支援します。

感染や侵害が疑われる場合は組織の手順に従って隔離し、調査記録を確保します。安易な再起動・初期化で情報を失わないよう注意します。

SIEMは、ファイアウォール、サーバ、認証基盤、クラウドサービス、EDRなどからログを集約し、検索、可視化、相関分析、アラート生成などに利用します。

  • EDR：端末で何が起きたかを詳しく見る
  • SIEM：複数システムの記録を関連付けて見る

SIEMも、必要なログや正しい時刻がなければ十分に機能しません。

5．DLP：重要情報の不適切な持出しを制御する

DLPは、データの内容、分類情報、送信先、利用者、操作などを基に、重要情報の不適切な利用や持出しを検知・制御する仕組みです。

例えば、顧客情報を許可されていない外部サービスへ送信しようとした際に、警告や遮断を行います。

DLPはIDSとは目的が異なり、情報分類、アクセス制御、教育、ログ確認などと組み合わせます。

6．DMZと検疫ネットワーク：分離する目的が違う

DMZは、外部ネットワークと内部ネットワークの間に設ける領域です。外部へ公開するWebサーバなどをDMZへ配置し、内部ネットワークとの通信を必要な範囲に制限します。

検疫ネットワークは、端末を業務ネットワークへ接続する前に、パッチ適用やマルウェア対策機能など、組織が定めた接続基準を確認するために利用します。

基準未達端末は隔離し、修正・再確認後に業務ネットワークへ接続させます。

  • DMZ：外部公開システムと内部を分離する
  • 検疫ネットワーク：基準未達の接続端末を業務ネットワークから隔離する

7．Webアイソレーション：Webの実行場所を端末から分ける

Webアイソレーションは、Webコンテンツを端末とは分離された環境で実行する仕組みです。

URLフィルタリングが接続先を許可・拒否するのに対し、Webアイソレーションはコンテンツの実行場所を端末から分けます。

8．UTM：機能を統合しても運用は続く

UTMは、ファイアウォール、IDS・IPS、マルウェア対策、URLフィルタリングなど、複数のセキュリティ機能を一つの製品へ統合したものです。

導入後も、設定見直し、更新、ログ・アラート確認などが必要です。

また、UTMとSIEMを混同しないようにします。

  • UTM：複数の防御・制御機能を統合する
  • SIEM：複数の機器・サービスのログを集約・分析する

9．科目Bでの使われ方

事例では、製品を導入したという事実だけでなく、その後の運用を確認します。

事例の記述 続けて確認すること
WAFを導入した アプリケーションの修正も進めているか
IPSを設置した 検証・調整・移行条件を定めているか
EDRを展開した 検知時の隔離と記録利用の手順があるか
SIEMを導入した 必要なログ・時刻・分析条件を確保しているか
DLPを導入した 情報分類や例外を適切に管理しているか
UTMへ統合した 設定・更新・ログ確認を続けているか
DMZを設けた 内部との通信を必要な範囲へ制限しているか

担当者としては、製品名ではなく、その仕組みが何を判断材料にしているかを確認します。検知や遮断の条件を変える必要があると気づいた場合は、その場で設定を変えず、業務への影響と切戻し方法を整理して上位者や運用担当部署へ報告します。端末の隔離が必要な場合は、独断で再起動・初期化せず、組織のインシデント対応手順に従います。

よくある取り違え

誤った考え方 正しい整理
IDSは遮断、IPSは通知を行う IDSは検知・通知、IPSは遮断機能を持つ
WAFを導入すれば脆弱性の修正は不要 WAFは防御層であり、原因箇所の修正も進める
誤検知を減らすため検知条件を大幅に緩める 見逃しが増えない範囲で調整する
EDRは複数システムのログを横断分析する 端末中心の記録・分析・対応を支援する
SIEMは端末を直接隔離することが主目的 複数ログの集約・相関分析を支援する
DLPはネットワーク侵入を検知する製品 重要情報の不適切な利用・持出しを制御する
DMZと検疫ネットワークは同じ 分離する対象と目的が異なる
UTMへ統合すれば運用作業はなくなる 各機能の設定・更新・監視は必要

まとめ

  • セキュリティ製品は、守る対象・配置場所・判断材料・検知後の処理で区別する
  • ファイアウォールは通信を制御し、WAFはWebアプリケーションへの攻撃を防ぐ
  • IDSは検知・通知、IPSは検知・遮断を中心とする
  • フォールスポジティブとフォールスネガティブを区別する
  • EDRは端末、SIEMは複数ログの横断分析を中心に考える
  • DLPは重要情報の不適切な利用・持出しを検知・制御する
  • DMZと検疫ネットワークは、分離する目的が異なる
  • WebアイソレーションはWebコンテンツの実行環境を端末から分ける
  • UTMは複数機能を統合するが、運用管理は引き続き必要
  • 科目Bでは、製品を導入した事実だけでなく、その後の運用まで確認する

関連記事

  • C1-T09：ネットワーク・通信への攻撃
  • C1-T10：Webアプリケーションへの攻撃
  • C5-T02：脆弱性管理とCVSS
  • C5-T07：マルウェア対策
  • C5-T09：ログ管理と監視
  • C5-T10：データ保護とバックアップ
  • C5-T11：セキュアプロトコルと実装技術
  • C6-T02：初動対応とエスカレーション
  • C9-T02：ネットワークの基礎

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • NIST SP 800-41 Rev.1「Guidelines on Firewalls and Firewall Policy」
  • NIST SP 800-94「Guide to Intrusion Detection and Prevention Systems」
  • NIST SP 800-92「Guide to Computer Security Log Management」
  • NIST「Computer Security Resource Center Glossary」（Endpoint Detection and Response、Data Loss Prevention、Demilitarized Zone の各項目）
  • OWASP「Web Application Firewall」（OWASP Foundation の解説ページ）

関連する問題

コメント

タイトルとURLをコピーしました