| English | 意味 |
|---|---|
| NIDS/nɪdz/ | NIDS |
| NIPS/nɪps/ | NIPS |
| SIEM/siːm/ | SIEM |
| signature-based/ˈsɪɡnɪtʃə beɪst/ | シグネチャベース |
| anomaly-based/əˈnɒməli beɪst/ | アナロミーベース |
| baseline/ˈbeɪslaɪn/ | ベースライン |
検知システム
- NIDSはトラフィックを分析してアラートを上げますが、ブロックはしません。
- NIPSは攻撃を阻止することもできます。
- SIEMは多数のソースからデータを収集し、パターンを検出します。
2つの検知方法
- シグネチャベース: 既知の攻撃シグネチャに一致 — 高速で誤警報が少ない。
- アナロミーベース: 通常ベースラインと比較 — 新種攻撃を捕捉。
- ハイブリッドアプローチは両方を組み合わせます。
シグネチャベースか、アナモリー（異常値）ベースか？
シグネチャベースは既知の攻撃に一致するため高速だが誤警報が少ない；アナモリーベースは通常からの逸脱を警告するため、新しい攻撃を検出できる。
攻撃を検知してアラートを上げますが、ブロックは行わないシステムはどれですか？
難易度 1/5 · 100 コイン + 今日初回完了時に小ボーナス付与
NIDS はアラートのみを発しますが、NIPS はブロックも可能です。
全く新しい攻撃を検出する可能性が高い検知方法はどれですか？
難易度 1/5 · 100 コイン + 今日初回完了時に小ボーナス付与
アナモリー（異常値）ベース が不審な動作を警告しますが、シグネチャでは新しい攻撃を見逃します。
アナモリーベースの検知は、トラフィックを通常の ____ と比較します。
難易度 1/5 · 100 コイン + 今日初回完了時に小ボーナス付与
ベースライン からの逸脱を警告します。
SIEMの記述として正しいものはどれですか？（すべて選択）
難易度 2/5 · 140 コイン + 今日初回完了時に小ボーナス付与
SIEMはソフトウェアであり、物理的な錠前ではありません。
トレードオフ
- シグネチャベースは全く新しい攻撃に盲点があります（偽陽性ではなく偽陰性が多い）。
- アナロミーベースはコストが高く、より多くの誤警報を発生させます。
- トラフィック量、新種リスク、予算に基づいて選択してください。
IDSとIPSを混同しないでください。侵入検知システムは警告するだけ — 人間の対応が必要です。侵入防止システムは攻撃自体をブロックできます。1文字の違いで挙動が変わります。
シグネチャベースの検知は高速であり、偽陽性（誤警報）がほとんどありません。
難易度 1/5 · 100 コイン + 今日初回完了時に小ボーナス付与
しかし、既知のシグネチャを持たない攻撃は見逃します。
ネットワークに、これまで見られたことのない新しいウィルムが侵入しました。シグネチャベースのシステムにはそのシグネチャがないため、検知できず（誤否定）、アノマリーベースのシステムは異常なトラフィックパターンに気づき、警告を発します。これがアノマリー検知を統合する古典的な理由です。
NIDS（アラート）、NIPS（ブロック）、またはSIEM（相関）を用いてネットワーク攻撃を検出します。シグネチャベースの検知は高速ですが、新しい攻撃を見逃すことがあります。アノマリーベースは新規の攻撃を検出できますが、コストが高く、誤警報も発生します。流量、新規性、予算に基づいて選択してください。