インラインモード【inline mode】

概要

インラインモードとは、侵入防止システム（IPS）やWebアプリケーションファイアウォール（WAF）、ファイアウォールなどのセキュリティ機器を通信経路の途中に直列に挿入し、通過するすべての通信をリアルタイムで検査・制御する動作形態のこと。

セキュリティ機器の運用形態は大きく「インラインモード」と「パッシブモード」（タップモード）に分かれる。パッシブモードはネットワークを流れる通信をミラーポートなどを介して複製して監視する方式で、通信そのものには干渉しない。

インラインモードでは、送信元から宛先へ向かうすべてのパケットが必ずセキュリティ機器を経由するように配線する。機器はパケットをリアルタイムで検査し、あらかじめ設定されたルールやシグネチャ、異常検知の結果に基づいて通信を許可するか遮断するかを判断する。正常と判定された通信はそのまま転送され、脅威と判定されたパケットは破棄またはセッションの切断といった処置が施される。攻撃を検知するだけでなく、被害の発生を未然に防げる点でパッシブモードと大きく異なる。

一方、すべての通信が機器を経由するため、処理能力がネットワーク全体の通信品質に直接影響する。検査処理の負荷が高まると遅延が生じ、機器が停止するとその経路での通信が途絶えるリスクがある。このリスクに対処するため、障害発生時に通信を素通りさせる「フェイルオープン」（fail open）や、逆にすべての通信を遮断する「フェイルクローズ」（fail close）といった動作を設定できる機器が多い。同一のシステムを複数用意して冗長構成を組むことも多い。

誤検知によって正当な通信まで遮断してしまう可能性があるため、運用開始前に十分なルールの調整と動作確認が求められる。インラインモードはIPS（Intruder Prevention System）のほか、WAF（Web Application Firewall）や次世代ファイアウォール（NGFW：Next Generation Firewall）、メールゲートウェイ、UTMアプライアンス（Unified Threat Management）など、通信内容を解析して制御を行う様々なセキュリティ機器で採用されている。