次世代IPS「TippingPoint」とは？ 仮想パッチとZDI連携でゼロデイ脆弱性を防ぐ仕組み

はじめまして！本日から、セキュリティ技術や最新のITソリューションについて分かりやすく解説していく技術ブログをスタートします。

初回のテーマは、IPS（侵入防御システム）の代表的な製品である TippingPoint についてです。

近年、ランサムウェアや脆弱性を狙った攻撃の高度化により、ファイアウォールやエンドポイント対策だけでは社内ネットワークを流れる通信そのものを守りきることが難しくなっています。特に、ベンダーからセキュリティパッチが提供されるまでの「空白期間」や、すでに稼働していてすぐには停止・更新できないサーバー・OT／IoT機器をどう守るかは、多くの組織にとって共通の課題です。

こうした課題に対し、ネットワークの通信を監視し、攻撃を「通信レベル」で検知・遮断するのが IPS（Intrusion Prevention System：侵入防御システム） です。本記事では、その代表的な製品であるトレンドマイクロの TippingPoint Threat Protection System（TPS） について、主要な機能と仕組みを整理して解説します。

TippingPointとは

TippingPointは、ネットワークの通信経路上に インライン で設置し、通過するパケットをリアルタイムに検査して攻撃を遮断する 次世代型IPS（NGIPS） です。現在はトレンドマイクロが「Threat Protection System（TPS）」として提供しています。

従来型のIPSが「既知の攻撃パターン（シグネチャ）」の検知・遮断を中心としていたのに対し、TippingPointは次のような点で次世代型（NGIPS）と位置づけられます。

• • 脆弱性ベースのフィルタリングと仮想パッチ：個別の攻撃手法（エクスプロイト）単位ではなく、脆弱性の「全体像」を覆うフィルターで防御するため、亜種や未知の攻撃、さらにベンダーパッチ提供前のゼロデイ脆弱性にも対応しやすい（後述のZDI連携）

• • 暗号化通信（SSL／TLS）のインスペクション：従来型IPSでは検査できなかった暗号化トラフィックを復号して検査し、暗号化に隠れた攻撃を検知・遮断できる

• • 脅威インテリジェンス／レピュテーションの活用：シグネチャだけに依存せず、IP・URL・ドメインの評価情報（レピュテーション）や、トレンドマイクロが機械学習を用いて開発した統計モデル（フィルター）を組み合わせて、未知・未公開の脅威にも対応しやすい

設置形態としては、通信経路上にインラインで透過的に挿入されるため、既存のIPアドレス設計やルーティングを大きく変更せずに導入でき、検知（IDS）にとどまらず攻撃通信をその場で遮断できます（検査対象はTPSを通過する通信＝インバウンド／アウトバウンドに限られます）。また、用途に応じて通信をコピーして監視のみ行う IDSモード でも運用できます。

TippingPointの歩み（ブランドの変遷）

TippingPointの技術は1999年に誕生し、その後オーナーが移り変わってきました。経緯を押さえておくと、関連ドキュメントを調べる際に混乱しにくくなります。

• • 2004年（買収完了は2005年）：3Comが買収を発表

• • 2010年：3Com買収に伴いHP（後にHPE）傘下へ

• • 2015年（買収完了は2016年）：トレンドマイクロが買収を発表。世界最大級の脆弱性報奨プログラム Zero Day Initiative（ZDI） もこのとき同社へ

• • 2026年3月：トレンドマイクロがエンタープライズ事業を 「TrendAI™」 へブランド変更。TippingPointもこのブランド体系の中で提供されています

特長的な機能

Digital Vaccine による仮想パッチ（バーチャルパッチ）

TippingPointの中核は、脆弱性を突く通信をネットワーク側で遮断する 「仮想パッチ（バーチャルパッチ）」という防御の考え方 と、それを実現するトレンドマイクロのフィルター群 「Digital Vaccine（DV）」 です。

仮想パッチとは、脆弱性のあるシステムに対してOSやアプリケーションへ実際のパッチを適用する代わりに、その脆弱性を突く通信をネットワーク側で遮断することで、実質的にパッチを当てたのと同じ保護状態を作る考え方です。

• • ベンダーパッチがまだ提供されていない脆弱性を保護できる

• • すぐに再起動・更新できない本番サーバーやレガシー機器、OT／IoT機器を保護できる

• • パッチ適用までの「空白期間」のリスクを低減できる

この仮想パッチを実現するのが、トレンドマイクロの研究組織 Digital Vaccine Labs（DVLabs） が開発・配信するフィルター群「Digital Vaccine」です。フィルターは特定の攻撃コードに依存せず脆弱性の範囲全体をカバーするよう設計されており、厳格なQAプロセスを経ることで誤検知（フォールスポジティブ）を抑えている点が特長です。

DVフィルターは原則として週次で配信され、緊急性の高い重大な脆弱性が出現した場合は随時提供されます。SMS（後述）と組み合わせることで、これらの更新を自動で適用する運用も可能です。

Zero Day Initiative（ZDI）連携によるゼロデイ対策

TippingPointの防御力を支えるのが、トレンドマイクロが運営する世界最大級のバグバウンティ（脆弱性発見報奨）プログラム Zero Day Initiative（ZDI） です。

ZDIは世界中の研究者から脆弱性情報を買い取り、ベンダーへ責任ある開示（責任ある脆弱性開示）を行う仕組みです。これにより、ベンダーが公式パッチを公開する前の段階で、その脆弱性を保護するDigital Vaccineフィルターを先回りして提供できる場合があります。攻撃者が悪用する前に防御フィルターを配布できる、というのがゼロデイ対策における大きな強みです。

SSL／TLSインスペクションとディープパケットインスペクション

現在のWeb通信の大半は暗号化（SSL／TLS）されているため、暗号化されたまま通過させると、その中に隠れた攻撃を検知できません。TippingPointは以下の検査機能を備えています。

• • ディープパケットインスペクション（DPI）：パケットのヘッダーだけでなくペイロード（中身）まで検査し、攻撃の兆候を発見する

• • SSL／TLSインスペクション：暗号化通信を復号して検査する。サーバー側（インバウンド）・クライアント側（アウトバウンド）の双方に対応

• • レピュテーション連携：IPアドレス・URLの評価情報（脅威レピュテーション）を用いて、悪性の通信先を遮断する

SMS（Security Management System）による一元管理

TippingPoint機器を運用する場合に必須なのが、統合管理製品 SMS（Security Management System） です。

• • 複数機器のポリシーを 横断的に一元管理（拠点・データセンターをまたいで同一ポリシーを適用可能）

• • Digital Vaccineチームが推奨する設定（Recommendedアクションセット）を適用することで、導入直後から実効性のある防御を素早く有効化

• • イベント・ログの集約とダッシュボード表示による可視化

• • フィルター（Digital Vaccine）の配信・適用の集中管理

脅威インテリジェンスと ThreatDV

シグネチャベースの検知に加え、TippingPointはトレンドマイクロの脅威インテリジェンス（機械学習を活用して開発される脅威情報・統計モデルやフィルターを含む）を取り込み、未知・未公開の脅威への対応力を高めています。オプションの ThreatDV では、以下が提供され、ボットネットやC&C（指令）通信の遮断を強化できます。

• • レピュテーションフィード：悪性のIP／ドメインに1〜100の脅威スコアを付与し、1日に複数回更新

• • マルウェアフィルターパッケージ：通常のDigital Vaccineとは独立したスケジュールで、最低でも週次更新

製品ラインナップ（TXEシリーズ）と高可用性

現行のTippingPointは、最新世代のハードウェア TXEシリーズ が中心です。ハードウェアモデルはライセンスによってインスペクションのスループットを段階的に引き上げられる（必要に応じてスケールする）方式が特徴です。

• • スタッキング：8600TXEまたは9200TXE（混在不可）を最大5台までスタックし、SMS上で1台の機器として管理できます。9200TXEを5台スタックした場合、インライン検査スループットは公称約485Gbps（≒0.5Tbps）まで拡張できます（5600TXEはスタック非対応）

• • 高可用性（HA）：用途に応じて複数の冗長化方式を選べます   
    • Intrinsic HA（レイヤー2フォールバック）：障害時に通信を通す／止めるの挙動を制御
    • ZPHA（Zero Power High Availability）：電源喪失時にも通信経路を維持するバイパス
    • TRHA（Transparent HA）：2台を並列構成にして設定・状態を同期し、非対称ルーティングやフェイルオーバーに対応
    •  
    •  

• • 耐障害性：ホットスワップ対応電源、ウォッチドッグタイマーによる監視、内蔵のインスペクションバイパスなどを備える

まとめ

TippingPointは、ネットワークの通信経路上で攻撃をリアルタイムに遮断する次世代型IPSであり、その本質は 「パッチを当てられない／当たっていない脆弱性を、ネットワーク側で守る」 という仮想パッチの考え方にあります。Digital VaccineとZero Day Initiativeの連携により、ベンダーパッチ提供前のゼロデイ脆弱性にも先回りで対応できる点は、他の対策では代替しづらい大きな価値です。

一方で、TippingPointはファイアウォール（NGFW）やEDRを置き換えるものではなく、それらと組み合わせて使う「専業のIPS」である点は押さえておきたいところです。エンドポイント対策が「端末」を、ファイアウォールが「境界」を守るのに対し、TippingPointは設置した通信経路上を流れる通信を検査して脅威を防ぐ役割を担います。多層防御（多重防御）の一翼として組み込むことで、パッチ管理の運用負荷を抑えながら、未知の脅威に対する防御力を底上げできるソリューションといえるでしょう。