大規模攻撃を受け、堅牢なDDoS対策としてF5 Cloud Servicesを導入

岐阜県大垣市に本社を置く株式会社ミライコミュニケーションネットワークは、インターネットサービスプロバイダー（ISP）、レンタルサーバー、データセンターの運用・管理、ドメインの取得・運用・管理に加え、岐阜県内全域を網羅する光ファイバーネットワークと岐阜情報スーパーハイウェイを活用したビジネス支援ネットワークなど、幅広いサービスを提供しています。同社はDDoS攻撃への対策として、F5 Distributed Cloud DNSを導入しました。導入にあたって同社が重視した要件や機能、期待される効果について、株式会社ミライコミュニケーションネットワーク 技術部の加納祐樹氏と田中敦子氏にお話を伺いました。

PDFをダウンロード（日本語）

ニーズ

「顔の見えるインターネットサービスプロバイダー」をコンセプトに掲げる株式会社ミライコミュニケーションネットワークは、民間企業だけでなく、地方自治体や官公庁にも幅広いネットワーク関連サービスを提供しています。同社の技術部に所属する加納祐樹氏は、「ホスティングサービスは全国のお客さまに提供していますが、地域に根差した事業展開が当社の大きな特長です。その意味で、当社は『顔の見える』インターネットサービスプロバイダーだと考えています。リモートでのサービス提供が中心で、担当者の顔が見えない一般的なサーバープロバイダーとは異なり、私を含む技術・保守担当者がお客さまのオフィスを訪問します。そして、案件ごとにお客さまと直接連携し、ニーズに合わせたソリューションを構築しています」と説明します。ミライコミュニケーションネットワークがシステムアーキテクチャを見直す契機となったのは、2023年12月に発生した大規模なDDoS攻撃でした。「当社のDNSサーバーが標的となり、名前解決が極めて困難な状況に陥りました。攻撃元と特定したIPアドレスからのクエリを直ちに遮断し、サービスを速やかに復旧しましたが、ネットワークが稼働していても、DNSサーバーが停止すれば通信できないことを痛感しました。このインシデントを通じて、DNSサーバーを攻撃から保護する重要性を改めて認識しました」と加納氏は振り返ります。同社では攻撃以前から、ネットワークトラフィックを監視してDDoS攻撃の可能性を検知し、正規のトラフィックのみを許可するなどの対策を講じていました。しかし、このインシデントにより、DNSサーバーに特化した対策の必要性が明らかになりました。そこで同社は、専用のDDoS防御サービスの導入を検討することにしました。

変革

攻撃を受けてから約3か月にわたる検討の末、ミライコミュニケーションネットワークはF5 Distributed Cloud DNSの採用を決定しました。各種ツールの評価に直接携わった同社技術部の田中敦子氏は、次のように述べています。「緊急性が高かったため、クラウドサービスで容易に導入できるソリューションを中心に検討しました。当初、F5のサービスは候補に入っていませんでした。しかし、評価を進める中でF5から提案を受け、コスト面と既存環境への統合のしやすさに優位性があると判断しました。競合サービスの中には、SaaS側でプライマリとセカンダリの両方のDNSサーバーを再設定する必要があるものや、プライマリDNSのみを提供し、セカンダリDNSと連携できないものもありました。また、契約時にプライマリDNSとセカンダリDNSのどちらに対策を適用するかを決める必要があるサービスもありました。さらに、クエリ量に応じて費用が変動するため、予算管理が課題でした」。加納氏は、F5を選定した理由についてさらに次のように説明しています。「自治体などの公共部門のお客さまでは、入札による調達が多く、予算も年度ごとに固定されています。そのため、想定外の攻撃による価格の変動分をサービス料金に転嫁することはできません。F5 Distributed Cloud DNSはゾーン数に基づく料金体系を採用しており、契約数を超えても契約期間中は追加料金が発生しない柔軟な仕組みです。必要に応じて、次年度以降の再契約時に調整できます」。ミライコミュニケーションネットワークは、F5 Distributed Cloud DNSを検証するため、概念実証（PoC）環境を構築しました。加納氏は次のように説明しています。「F5のサービス導入を決定した段階で、PoC用アカウントと購入者用アカウントの両方が提供されました。UIは直感的で分かりやすく、F5のエンジニアによるきめ細かなサポートもあり、検証は順調に進んでいます」

導入の成果

DNSの変更には、十分なテストに加え、移行先サーバーへの必要なレコードの登録やWHOIS情報の移管といった作業が必要です。しかし、移行後の運用は既存環境と変わらないため、追加の人員は必要ないと見込んでいます」と加納氏は述べています。F5 Distributed Cloud DNSでは、プライマリDNSをHiddenに設定してインターネットから隠蔽し、DDoS攻撃から保護できます。既存のDNSサーバーは設定用として引き続き使用し、セカンダリDNSをF5のDistributed Cloud側に配置して、すべてのDNSクエリを処理できます。当初の要件であるDDoS対策を実現するだけでなく、地理的に分散したクラウドベースのセカンダリDNSによって応答時間も短縮できます。さらに、バージョンアップなどの作業をF5に移管できるため、運用負荷を一層軽減できます」と加納氏は付け加えています。

F5 Distributed Cloud DNSでは、プライマリ／セカンダリDNSを構成できます。既存のプライマリDNSは構成専用として使用し、セカンダリDNSはF5のクラウドに配置してDNSクエリを処理します。この構成により、DDoS攻撃から保護するとともに、地理的に分散したクラウドネットワークを通じて応答時間を短縮できます。

F5は、F5 Distributed Cloud Servicesの一環として、今回採用したDistributed Cloud DNSをはじめ、ロードバランサー、ファイアウォール、APIゲートウェイ、WAF、APIセキュリティ、ボット対策、マネージドKubernetesプラットフォームなど、さまざまなネットワーク機能とセキュリティ機能を提供しています。「現在、DNSロードバランシングのサービス化を検討しています。オンプレミスやクラウドなど、複数の環境にまたがってシステムを運用する企業が増える中、DNSベースのロードバランシングには確かなニーズがあります」と田中氏は述べ、Distributed Cloud DNS以外のサービスを採用する可能性にも言及しています。加納氏も、F5 Distributed Cloud Servicesのハンズオントレーニングで実感した利点について、次のように語ります。「優れた使いやすさを維持しながら、詳細な設定が可能なサービスだと感じました。サービス拡充を検討するうえで、HTTPSモニターやDNSモニターなどの監視機能は非常に有用だと思います。また、将来的にはマネージドKubernetesの概念実証（PoC）にもぜひ取り組みたいと考えています」。F5 Distributed Cloud Servicesは、さまざまな環境に分散するアプリケーションとネットワークの管理およびセキュアな運用に加え、Kubernetesプラットフォームを通じた迅速なアプリケーション開発とデプロイを支援します。「現在、物理アプライアンスや仮想アプライアンスを通じて提供しているサービスを、導入や拡張が容易なSaaSソリューションへ移行できます。今後、F5 Distributed Cloud Servicesのユースケースはさらに広がると期待しています」と加納氏は述べています。また、自治体や教育委員会、地域企業が抱える課題の解決に向け、F5と連携できる可能性も見据えています。「F5のソリューションをさらに活用し、当社のサービスと統合することで、既存のお客さまの新たなニーズを掘り起こし、より高い価値を提供できると考えています」と加納氏は付け加えています。