「IDS」「IPS」「WAF」は、アルファベット3文字で見た目が似ていて、試験勉強では混ざりやすい用語です。どれも「攻撃から守る仕組み」ですが、何を見るかと見つけたあとどうするかが違います。
この記事では、3つの違いを 見つけたあとの動き・見る範囲・置き場所 の3点で整理します。総務省の用語集とIPA（独立行政法人 情報処理推進機構）のシラバスで確認した内容にもとづいています。
IPAの情報セキュリティマネジメント試験シラバス（Ver.3.2）の「セキュリティ製品・サービス」には、ファイアウォール、WAF、IDS（侵入検知システム）、IPS（侵入防止システム）、UTM、許可リスト（パスリスト）、拒否リスト（ブロックリスト）、フォールスポジティブ、フォールスネガティブなどが用語例として挙がっています。（2026年10月24日確認）
結論：「知らせる」「止める」「Webアプリを守る」で覚える
3つを一言で言うと、次のようになります。
- IDS（Intrusion Detection System：侵入検知システム）：不審な通信を見つけて、管理者に知らせる
- IPS（Intrusion Prevention System：侵入防止システム）：不審な通信を見つけて、その場で遮断する
- WAF（Web Application Firewall）：Webアプリへの攻撃に絞って通信の中身を調べ、防ぐ
IDSとIPSは「知らせるだけか、止めるところまでやるか」の違いです。WAFはそれらとは別の観点で、「守る相手をWebアプリに絞っている」ことが特徴です。
比較表：3つの違い
| 項目 | IDS | IPS | WAF |
|---|---|---|---|
| 正式名称 | 侵入検知システム | 侵入防止システム | ウェブアプリケーションファイアウォール |
| 見つけたあとの動き | 管理者に通知する | 通信を遮断する | 攻撃と判断した通信を遮断する |
| 見る範囲 | ネットワークやサーバの通信全般 | ネットワークやサーバの通信全般 | Webアプリ（HTTP/HTTPS）の通信 |
| 得意な攻撃 | 不正侵入、事前調査（探りの通信）など | 同左 | SQLインジェクション、クロスサイトスクリプティングなど |
| 置き場所の考え方 | 通信のコピーを受け取る場所 | 通信の通り道の上 | Webサーバの手前 |
IDSとIPSの違い：知らせるだけか、止めるか
総務省の用語集では、IDS（侵入検知システム）は、インターネットから送られてくるパケットを識別することで、不正侵入や攻撃、事前調査を検知するシステムと説明されています。不正なアクセスを見つけたとき、メールやアラームなどで管理者に知らせる機能があります。
IPS（侵入防止システム）は、インターネットに接続されたネットワークやサーバを不正侵入から防御するためのシステムです。IDSの検知機能に加えて、不正なパケットを自動で遮断する機能を持ちます。
| 観点 | IDS | IPS |
|---|---|---|
| 不審な通信を見つける | できる | できる |
| 管理者に知らせる | できる | できる |
| 通信を自動で遮断する | しない | する |
| 通信への影響 | 通信は止めないので影響が小さい | 通信の通り道にあるため、誤判定すると正常な通信も止まる |
IDSは「警報器」、IPSは「警報器と自動の防犯シャッターが一体になったもの」と考えると分かりやすくなります。ただし、IPSは通信の通り道の上に置くため、誤って正常な通信を遮断すると業務に影響が出ます。この点は、あとで説明する「誤検知」の話につながります。
製品によっては、設定を変えるだけでIDSとしてもIPSとしても動くものがあります。試験では、「検知して通知まで」ならIDS、「遮断まで」ならIPS、と問題文の動作で見分けます。
WAFとは：Webアプリに絞って中身を見る
総務省の用語集では、WAFは、Webアプリケーションに対して行われる外部との通信を監視し、脆弱性への攻撃や情報の窃取などを防御するファイアウォールと説明されています。一般的なファイアウォールがネットワークレベルで監視するのに対し、WAFはアプリケーションレベルで監視する、という違いも示されています。
WAFが守るのは、Webアプリの弱点を突く攻撃です。たとえば、データベースを不正に操作する文字列を送り込むSQLインジェクションなどがあります。WAFはWebサーバの手前に置かれ、届いたHTTPの通信の中身を検査します。攻撃のパターンに当てはまる通信は止め、そうでない通信はWebサーバへ通します。
ファイアウォールとWAFの違い
名前が似ているため、ファイアウォールとWAFも混同しやすいところです。
| 項目 | ファイアウォール | WAF |
|---|---|---|
| 主に見るもの | ヘッダ情報（IPアドレス、ポート番号、プロトコル） | Webアプリの通信の中身（HTTPの内容） |
| 判断の例 | 「このアドレスからの443番宛は通す」 | 「この入力にSQLインジェクションの形がある」 |
| 守る範囲 | ネットワーク全体の入口 | 公開しているWebアプリ |
「番号（宛先）で決めるのがファイアウォール、中身で決めるのがWAF」と覚えておくと、問われたときに整理できます。ファイアウォールの基本は ファイアウォール・DMZ・プロキシの違い で整理しています。
許可リストと拒否リスト
IDS・IPS・WAFのどれも、「どの通信を不審とみなすか」を決めるルールが必要です。その決め方がシラバスにも挙がる2つの考え方です。
| 項目 | 拒否リスト（ブロックリスト） | 許可リスト（パスリスト） |
|---|---|---|
| 登録するもの | 問題のある通信のパターン | 正常な通信のパターン |
| 原則 | 当てはまるものを止める | 登録したもの以外は止める |
| 弱点 | 登録にない新しい攻撃は通ってしまう | 正当な通信まで止めやすい |
「拒否リストは『これを止める』、許可リストは『これだけ通す』」と言い換えると覚えやすくなります。
誤検知と見逃し：フォールスポジティブ・フォールスネガティブ
検査には、次の2種類の間違いがあります。
| 用語 | 日本語 | どんな間違いか | 起きる困りごと |
|---|---|---|---|
| フォールスポジティブ | 誤検知 | 正常な通信を攻撃と判定する | 正しい通信が遮断され、業務に支障が出る |
| フォールスネガティブ | 見逃し | 攻撃を正常と判定する | 攻撃がすり抜け、被害が出る |
判定の基準を厳しくすると誤検知が増え、緩めると見逃しが増える関係にあります。両方を完全になくすことは難しいため、運用しながら調整していく必要があります。遮断まで行うIPSやWAFでは、誤検知が業務に直接響きやすい点に注意が必要です。
試験での問われ方と考え方
情報セキュリティマネジメント試験は、CBT方式で、試験時間は120分、科目A・科目Bともに60問に解答する形式です（IPA「試験要綱」、2026年10月24日確認）。この論点は、次の順に考えると整理しやすくなります。
- 問題文の動作を見る。通知だけならIDS、遮断までならIPS
- 守る相手がWebアプリ、攻撃がSQLインジェクションなどのWebアプリへの攻撃なら、WAFを候補にする
- 判断の材料がアドレスやポート番号ならファイアウォール、通信の中身ならWAFやIPS
- 「正常な通信を止めた」なら誤検知、「攻撃を通してしまった」なら見逃し
これらの製品を入れれば絶対に安全、ということはありません。単独の製品に頼らず、境界のファイアウォール、IDS・IPS、Webアプリ側のWAFなどを重ねて使う「多層防御」の考え方が基本です。Webアプリの弱点を突く攻撃の具体例は XSSとCSRFの違い で整理しています。
講座での学び方
3つの違いは、置き場所の図と合わせて覚えると定着しやすい論点です。情報セキュリティマネジメント講座では、IDS・IPS・WAF・UTM・SIEM・DLPをまとめて扱う授業で、それぞれの役割を順に学べます。講座ページから、授業の一覧と料金を確認できます。
よくある質問
Q. IDSとIPSはどちらが優れていますか？
優劣ではなく役割の違いです。IDSは通知だけなので通信に影響を与えにくく、IPSは自動で遮断できる代わりに誤検知の影響を受けやすくなります。
Q. WAFがあればファイアウォールは不要ですか？
いいえ。ファイアウォールはネットワークの入口でアドレスやポート番号により通信を選別し、WAFはWebアプリの通信の中身を調べます。見る場所が違うため、併用する構成が一般的です。
Q. UTMとの違いは何ですか？
UTM（Unified Threat Management：統合脅威管理）は、複数のセキュリティ機能を1台にまとめた機器やサービスを指します。IDS・IPS・WAFはその中に含まれうる個々の機能という位置づけです。
まとめ
- IDSは不審な通信を見つけて知らせ、IPSは見つけて遮断まで行う
- WAFはWebアプリの通信の中身を調べ、SQLインジェクションなどを防ぐ
- ファイアウォールはヘッダ情報、WAFは通信の中身で判断する
- 誤検知と見逃しは両立して減らせないため、運用で調整する
試験の出題範囲や用語は、IPAの最新の公式情報で確認してください。