【入門編】 IDS/IPSにおけるシグネチャベース検知の限界と回避手法 – インフラ・ネットワーク & クラウドセキュリティ防御ガイド

こんにちは！インフラやセキュリティの世界へようこそ。新人IT担当者の皆さんや、これからセキュリティの勉強を始める開発者の方々にとって、ネットワークの守りである「ファイアウォール」や「IDS（不正侵入検知システム）／IPS（不正侵入防御システム）」という言葉は、少し硬くて難しく聞こえるかもしれませんよね。

でも、安心してください！今回は、このセキュリティの要であるIDS/IPSの「シグネチャベース検知」という仕組みと、攻撃者がそこをどうやってすり抜ようとするのか、そして私たちがどうやってそれを防げばいいのかを、身近な防犯の例えを交えながら、一歩ずつ優しく紐解いていきたいと思います。

それでは、さっそくセキュリティの冒険に出発しましょう！

—

1. 家の鍵と「指名手配書」：シグネチャベース検知の仕組み

皆さんの家には玄関の鍵がありますよね。では、もし「泥棒が入ってきたときに、自動で警察を呼ぶセキュリティシステム」を家に作るとしたら、どうしますか？

一番確実で簡単な方法は、警察から配られる「指名手配書（顔写真や特徴のリスト）」を玄関のカメラの横に貼っておくことです。
「この顔（特徴）の人間が来たら、即座にブザーを鳴らして警察に通報する！」という仕組みですね。

この「指名手配書のリストと照らし合わせて不審者を検知する仕組み」こそが、ITの世界におけるシグネチャベース検知そのものです。

IDS/IPSはどうやって攻撃を見つけるの？

IDS（侵入検知）やIPS（侵入防御）は、ネットワークを流れるすべての通信を監視しています。そして、過去に発見されたサイバー攻撃のパターン（これを「シグネチャ」や「パターンファイル」と呼びます）をデータベースとして持っています。

例えば、Webアプリを狙う有名な攻撃である「SQLインジェクション」や「クロスサイトスクリプティング（XSS）」の通信が流れてきたとき、その中身に UNION SELECT や <script> といった特定の怪しいキーワードが含まれていないかを、この指名手配書と照らし合わせてチェックしているのです。

IDS（検知）：怪しいやつを見つけたら、「泥棒が入ってきたぞー！」と管理者に大声で知らせる（アラートを出す）。
IPS（防御）：怪しいやつを見つけたら、その場で捕まえて追い返す（通信をブロックする）。

すごく頼りになる仕組みに思えますよね？しかし、この「指名手配書方式」には、大きな弱点があるのです。

—

2. 「知らない顔」や「変装」には弱い？シグネチャの限界

指名手配書方式の弱点、皆さんはもうお気づきでしょうか？そう、「まだリストに載っていない新しい犯人（ゼロデイ攻撃）」や、「顔に包帯を巻いたり、帽子を深くかぶって変装している犯人」には太刀打ちできないのです。

攻撃者もバカではありません。彼らはセキュリティ担当者が用意した「指名手配書（シグネチャ）」をどうにかして避けて、システムに侵入しようと日々頭を使っています。

ここで登場するのが、今回のテーマであるIDS回避技術です。攻撃者は、次のような手口を使ってIDSの目をくらまします。

1. 難読化（変装）：攻撃のコードをわざと読みにくい形に変形させる。
2. フラグメンテーション（バラバラ殺人ならぬ「バラバラ通信」）：大きな荷物をいくつもの小さな小包に分けて送り、IDSに「全体像」を掴ませないようにする。

それでは、この「バラバラ通信」の仕組みをもう少し詳しく見てみましょう。

—

3. 荷物をバラバラにして送る？「フラグメンテーション」の脅威

インターネットでデータをやり取りするとき、大きなデータは一度「パケット」という小さな小包に分割されて送られます。そして、宛先のパソコンに届いたときに、そのパケットをパズルのように元通りに組み立て直します。

ここに攻撃者の狙い目があります。

例えば、攻撃の合言葉である 悪意ある文字列 というデータを、そのまま送るとIDSに一発でバレてしまいます。そこで攻撃者は、このデータを次のようにバラバラに分割して送りつけるのです。

小包1つ目： 悪意
小包2つ目： ある
小包3つ目： 文字列

もしIDSが、届いた小包を一つひとつバラバラのまま見ていたらどうでしょう？「ん？『悪意』『ある』『文字列』……？単なるバラバラの言葉だな、怪しくないぞ」とスルーしてしまうかもしれません。しかし、最終的に被害を受ける側のサーバーは、これらをしっかりと組み立て直して「悪意ある文字列」として実行してしまうのです。

これが、フラグメンテーションを用いたIDS回避の恐ろしいメカニズムです。

—

4. 開発者・インフラ担当者が今すぐできる「実践的な対策」

「うわ、じゃあIDSなんて意味がないんじゃないの？」と思ったそこのあなた、ちょっと待ってください！
確かにシグネチャベース検知には限界がありますが、多層防御の考え方を取り入れることで、こうした回避技術をしっかり打ち破ることができます。

ここからは、実務で私たちが設定・実装できる具体的な対策を見ていきましょう。

対策①：パケットの「再組立（Reassembly）」機能を有効にする

ネットワーク機器や最新の次世代ファイアウォール（NGFW）、IPS製品には、バラバラに届いたパケットを途中で一度きれいに組み立て直してから、シグネチャ検査を行う機能（パケット再組立機能）が備わっています。

古いIDSをそのまま使っていると、バラバラ攻撃の餌食になってしまいます。機器を選定・設定する際は、必ず「ストリーム再組立（Stream Reassembly）」や「IPフラグメント再組立」の機能が有効になっているかを確認してください。

対策②：WAF（Webアプリケーションファイアウォール）の導入

ネットワーク層のIDS/IPSだけでなく、Webアプリへの攻撃を防ぐためにはWAFの導入が不可欠です。WAFはHTTPの通信の中身（URLやパラメータ）を深く理解しているため、URLエンコーディングなどで難読化された攻撃も、デコード（元の状態に戻す）してから検査してくれます。

例えば、NginxやApacheなどのWebサーバーの前段にWAFを配置し、怪しいリクエストを弾く設定を行います。以下は、一般的なリバースプロキシ環境における、セキュリティヘッダー付与や基本的なブロックのイメージ設定（設定ファイルの一例）です。

# Nginxでの基本的なセキュリティ設定とリクエスト制限の例
server {
    listen 80;
    server_name example.com;

    # サーバー情報の隠蔽（バージョン情報を隠して攻撃者にヒントを与えない）
    server_tokens off;

    # 不審なHTTPメソッド（TRACEやTRACKなど）をブロックする
    if ($request_method ~*^(TRACE|TRACK)$ ) {
        return 405;
    }

    location / {
        proxy_pass http://backend_servers;
        
        # プロキシ時のヘッダー設定（クライアントのIPを正しくバックエンドに伝える）
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

        # クライアントからのリクエストボディサイズを制限する（DoS攻撃や巨大な不正パケット対策）
        client_max_body_size 10M;
    }
}

*※実務では、上記に加えてModSecurityなどのWAFモジュールを組み合わせ、シグネチャ＋振る舞い検知を同時に行えるようにチューニングします。*

対策③：アプリケーション側での「入力値検証（バリデーション）」

セキュリティの鉄則は、「境界防御（ネットワークの入り口だけで守る）」に頼りすぎないことです。ネットワークの目をかいくぐってサーバーに到達した不正なデータも、アプリケーション側でしっかりと「門前払い」すれば被害を防げます。

例えば、PHPでユーザーからの入力を受け取る際、型や文字種を厳格にチェックするコードを書いてみましょう。

<?php
// ユーザーから送信された年齢データを受け取る想定のスクリプト
$input_age = $_POST['age'] ?? '';

// 【対策】入力値が「整数（数字のみ）」であるかを厳格にバリデーションする
// もし文字列やSQL文、怪しいスクリプトが混入していればここで弾く
if (filter_var($input_age, FILTER_VALIDATE_INT) === false) {
    // ログに不正な入力を記録し、処理を中断する
    error_log("不審な入力値が検出されました: " . print_r($input_age, true));
    
    http_response_code(400);
    echo "不正なリクエストです。";
    exit;
}

// 安全な整数値として処理を継続
$safe_age = (int)$input_age;
echo "あなたの年齢は " . $safe_age . " 歳ですね！";
?>

このように、アプリケーションの入り口でしっかりとデータを検証（サニタイジングや型チェック）していれば、仮にネットワーク側のIDSが回避されても、アプリが乗っ取られるリスクを劇的に減らすことができます。

—

5. まとめ：一歩ずつ、多層に守るエンジニアになろう

今回は、IDS/IPSのシグネチャベース検知の仕組みと、フラグメンテーションなどの回避手法、そしてその対策についてお話しました。

シグネチャベース検知は「指名手配書」のようなもので、既知の攻撃には強いが、変装や未知の攻撃には限界がある。
攻撃者はパケットをバラバラにする（フラグメンテーション）などして、検知をすり抜けようとする。
対策として、機器の再組立機能を有効にしつつ、WAFやアプリケーション側の厳格なバリデーションを組み合わせる「多層防御」が極めて重要。

セキュリティの世界は奥が深く、最初は覚えることも多くて圧倒されてしまうかもしれません。でも、一つひとつの仕組みをこうして紐解いていけば、必ず理解できるようになります。

「完璧な一つの防壁」なんてこの世には存在しません。だからこそ、ネットワーク、インフラ、そしてアプリケーションのそれぞれの層で、しっかりと仲間（セキュリティ対策）を協力させて家を守っていく。そんな頼もしいエンジニアを目指して、一歩ずつ一緒に学んでいきましょう！