第4章 · ネットワーク侵入分析·v1.0.0·更新 2026/7/20·読了目安 約16分
変更要約: 初版
4.3検査方式とセンサ配置の比較
この節の要点
パケットフィルタリング（ステートレス）・ステートフル検査・ディープパケットインスペクション（DPI）という検査の深さの違いと、インライン対タップ/SPAN（遮断できるか・経路に影響するか）、フルパケットキャプチャ（タップ）対トランザクショナル（NetFlow）（ペイポードを持つか・軽量に長期保持できるか）を、「この目的にはどの方式が適切か」という設計判断として学びます。
監視の設計では「どこまで深く見るか」「経路に割り込んで止めるか、コピーだけ取るか」「全部保存するか、要約だけ残すか」という3つの軸が絡みます。それぞれに可視性と、コスト/遅延/リスクのトレードオフがあり、目的（遮断したいのか観測だけか、ペイロードが要るのか統計で十分か、長期保持したいのか）から方式を選ばないと、性能を無駄に食ったり必要な証跡を取り逃したりします。この節では検査の深さ・センサの置き方・保持データの粒度を、実務の判断として比較します。
4.3.1検査の深さ
- パケットフィルタリング（ステートレス）＝各パケットを個別に5タプル（IP・ポート・プロトコル）とACLで許可/拒否する。接続の状態を持たないため高速・安価だが、「その戻りパケットは確立済みセッションの一部か」を判断できず、戻り通信のために広くポートを開ける等の甘さが出やすい。
- ステートフル検査＝接続状態テーブルを持ち、内側から確立したセッションの戻りトラフィックを自動的に許可する（新規の外→内は既定拒否のまま）。ステートレスより安全で運用も楽だが、状態管理の分だけリソースを使う。L3/L4の状態が中心。
- ディープパケットインスペクション（DPI）＝ペイロードをL7まで検査し、アプリ識別・IPS署名・マルウェア検知など中身に踏み込む。可視性は最も高いが、CPU/メモリを最も消費し遅延も増える。NGFWやIPSがこれを担い、暗号化されると（復号しない限り）中身は見えなくなる点に注意。
4.3.2センサの置き方（インライン対タップ）
- インライン＝センサを通信経路上に直列に置く。トラフィックが必ず通るので遮断や書き換えができる（IPS・ファイアウォールの前提）。反面、遅延を足し、機器故障時に通信が止まる（または素通しになる）リスクがあり、fail-open/fail-closedの設計判断が要る。
- タップ/SPAN＝トラフィックのコピーを経路外で受け取る。遮断はできず検知/記録のみ（IDS・パケットキャプチャの前提）だが、本番経路に割り込まないので遅延も障害リスクも与えない。ハードウェアタップは物理的に全フレームを複製し取りこぼしにくいのに対し、スイッチのSPAN（ミラー）は帯域超過時にフレームを落としうる。