変更要約: 初版
4.3セキュリティ製品
ファイアウォール・IDS/IPS（シグネチャ型/アノマリ型）・WAF・RASP・UTM・DLP・SIEM・EDR・CASB・SASE・MDM・IdPという多様なセキュリティ製品を、それぞれが守る対象と検知方式で整理し、フォールスポジティブ/フォールスネガティブのトレードオフとともに学びます。
セキュリティ製品は種類が多く、名称だけを暗記しても実務では使えません。重要なのは「この製品は何を検知・保護対象にしていて、既知の脅威か未知の脅威か、エンドポイントかネットワークかクラウド利用か、どの粒度で守るのか」を切り分けて理解することです。この節では、セキュリティ担当者が検知要件に応じて適切な製品を選定する判断力を養います。
4.3.1ネットワーク境界の製品：ファイアウォール・IDS/IPS・UTM
- ファイアウォール＝IPアドレス・ポート番号などのヘッダ情報に基づき通信を許可/拒否する境界防御の基本。通信内容（ペイロード）の中身は見ないため、許可されたポートを使う攻撃は素通りしてしまう。
- IDS（侵入検知システム）＝通信を監視し不正の兆候を検知して通知する（遮断はしない）。IPS（侵入防止システム）＝検知に加えて自動的に遮断する。検知方式には、既知の攻撃パターンと照合するシグネチャ型（既知の攻撃に強いが未知は素通り）と、正常な通信からの逸脱を検知するアノマリ型（未知の攻撃にも対応できるが誤検知が増えやすい）がある。
- UTM（統合脅威管理）＝ファイアウォール・IDS/IPS・アンチウイルス・Webフィルタなど複数機能を1台に統合した製品。中小規模拠点で運用負荷とコストを抑えつつ多層的な防御を実現する際に選ばれる。
4.3.2アプリケーション層の製品：WAF・RASP
- WAF（Webアプリケーションファイアウォール）＝HTTPリクエストの内容（パラメータ等）を検査し、SQLインジェクションやXSSなどWebアプリケーション層への攻撃を検知・遮断する。ネットワーク層のファイアウォールでは防げないアプリケーション固有の攻撃が対象。
- RASP（Runtime Application Self-Protection）＝アプリケーションの実行環境内部に組み込まれ、実行時のコードの挙動そのものを監視して攻撃を検知・防御する。WAFが外部のネットワーク経路上で通信を検査するのに対し、RASPはアプリケーション内部から動作を見るため、暗号化された通信の中身やWAFが素通りしうる巧妙な攻撃にも対応しやすい。
「IDS＝検知のみ、IPS＝検知＋遮断」「シグネチャ型＝既知に強い、アノマリ型＝未知対応だが誤検知増」「WAF＝ネットワーク経路上でHTTP内容を検査、RASP＝アプリ内部から実行時挙動を監視」の対比が最頻出です。ファイアウォールが通信内容の中身は見ない（ヘッダのみ）点も定番の出題ポイントです。
4.3.3検知・可視化・エンドポイントの製品：SIEM・EDR・DLP
- SIEM（Security Information and Event Management）＝ファイアウォール・IDS/IPS・サーバ・エンドポイント等複数の機器のログを集約・相関分析し、単独の機器では気付けない攻撃の兆候（複数拠点への低頻度アクセスの組み合わせ等）を可視化する。組織全体の状況把握（可視性）が主眼で、それ自体は個々の脅威を遮断しない。
- EDR（Endpoint Detection and Response）＝PCやサーバなどエンドポイント上の挙動を監視し、侵入後の不審なプロセス実行・横展開の兆候を検知して隔離・調査（フォレンジック）を支援する。アンチウイルス（既知マルウェアの侵入防止）を補完し、侵入後の検知・対応に主眼を置く。
- DLP（Data Loss Prevention）＝機密情報（個人情報・カード番号等のパターン）を検知し、メール送信・USB転送・クラウドアップロード等での意図しない/不正な持ち出しを検知・阻止する。マルウェアではなく情報そのものの流出に着目する点がEDRとの違い。
あるグローバル企業のCSIRTが、クラウドサービス利用の拡大とリモートワークの常態化を受けてセキュリティ製品を見直すとします。まず、営業部門が会社未承認のクラウドストレージへ機密資料をアップロードしている（シャドーIT）実態を可視化・制御したいという要件には、クラウドサービス利用を可視化しアクセス制御・DLP機能を提供するCASB（Cloud Access Security Broker）が適します。次に、社外から様々なネットワーク経由でアクセスする従業員に対し、境界防御に頼らずアクセスのたびに検証する設計へ移行したいという要件には、SD-WANとセキュリティ機能をクラウド上で統合するSASE（Secure Access Service Edge）が候補になります。また、従業員のスマートフォンやノートPCの紛失・盗難時に遠隔ロック/ワイプしたいという要件にはMDM（Mobile Device Management）、複数のクラウドサービスやSaaSに一度の認証でシングルサインオンさせたいという要件には認証を一元的に発行するIdP（Identity Provider）が担当領域になります。ここで、既存のIDS（シグネチャ型）で標的型攻撃の未知の亜種を見逃していた場合、アノマリ型IDS/IPSへの切り替えや、エンドポイント上の挙動を監視するEDRの追加を検討しますが、アノマリ型は正常な業務通信の変化（繁忙期の一時的なアクセス増加等）をフォールスポジティブ（過検知）として誤検知しやすく、運用チームのアラート疲れを招くリスクとのトレードオフを踏まえて閾値を調整する判断が必要です。逆に閾値を緩めすぎると、本物の攻撃を見逃すフォールスネガティブ（検知漏れ）が増えるため、「検知要件（何を・どの粒度で守りたいか）」に応じて製品と閾値の両方を選定・調整することが実務での核心的な判断になります。
| 製品 | 主な保護対象/検知範囲 | 特徴 |
|---|---|---|
| WAF | Webアプリ層（HTTPリクエスト内容） | SQLi/XSS等アプリ固有攻撃を経路上で検査 |
| RASP | アプリケーション実行環境の内部 | 実行時挙動を内部から監視 |
| CASB | クラウドサービス利用（シャドーIT） | 可視化・アクセス制御・DLP |
| SASE | 社外からの全アクセス経路 | SD-WAN＋セキュリティ機能をクラウドで統合 |
| MDM | モバイル端末（スマホ/ノートPC） | 紛失・盗難時の遠隔ロック/ワイプ |
| IdP | 利用者の認証・アイデンティティ | SSOのための認証を一元発行 |
ひっかけ： 「SIEMは攻撃を自動的に遮断する製品である」は誤りです——SIEMは複数機器のログを相関分析し可視化することが主眼で、遮断機能そのものはIPSやEDR等が担います。また「WAFがあればアプリケーション実行時の内部挙動まで監視できる」も誤り＝WAFはネットワーク経路上でHTTP内容を検査する製品で、アプリ内部の実行時挙動監視はRASPの役割です。
4.3.4この節のまとめ
- IDSは検知のみ・IPSは遮断も。シグネチャ型は既知に強くアノマリ型は未知対応だが誤検知増
- WAFはHTTP内容を経路上で検査、RASPはアプリ内部から実行時挙動を監視。SIEMは複数ログの相関分析・可視化
- CASBはクラウド利用、SASEは全アクセス経路、MDMはモバイル端末、IdPは認証基盤と、守備範囲で製品を選ぶ
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 営業部門が会社未承認のクラウドストレージサービスへ機密資料をアップロードしている実態（シャドーIT）を可視化し、アクセス制御とDLP機能で統制したい。最も適した製品はどれか。
Q2. SQLインジェクションのような、HTTPリクエストのパラメータに悪意あるコードを埋め込むWebアプリケーション層への攻撃を、ネットワーク経路上で検査して遮断したい。適した製品はどれか。
Q3. ファイアウォール・IDS/IPS・サーバなど複数機器のログを集約・相関分析し、単独の機器では気付けない攻撃の兆候を組織全体で可視化したい。最も適した製品はどれか。