MicrosoftアプリをL7 DDoS攻撃から保護

F5エコシステム | 2023年6月29日

最近、組織でも個人でも、私生活や仕事で日常的に利用している主要なアプリケーションの一部にアクセスしにくい状況を、多くの方が経験しました。6月初旬には、日を追うごとに、まずMicrosoft Outlook.comのWebポータル、次にOneDrive、そして最後にMicrosoft Azure Portalへのアクセスで、多くの方に問題が発生しました。

Microsoftの重要なアプリケーションにアクセスできなかった原因は、設定ミスではないかとの見方がありました。一方、サイバー攻撃の可能性を指摘する声もありました。Microsoftは、主要なアプリケーションへのトラフィック増加に対処し、負荷を分散したと発表しました。

その後、6月16日（金）にMicrosoft Security Response Center（MSRC）が公開したブログ記事「レイヤー7分散型サービス拒否（DDoS）攻撃に対するMicrosoftの対応」で、6月7日から9日まで続いたMicrosoftアプリケーションの障害について、その根本原因が説明されました。

このブログでは、Microsoftがレイヤー7（L7）DDoS攻撃を受け、その結果、一時的にサービスへアクセスできなくなったことが確認されました。該当するサービスは、他の出版物でOutlook.com、OneDrive、Microsoft Azure Portalと特定されています。

このブログ記事によると、Microsoftは「一部のサービスに対するトラフィックの急増を確認し、可用性に一時的な影響が生じた」としています。また、Microsoftは「速やかに調査を開始し、継続中のDDoSアクティビティの追跡に着手した」とも述べています。MSRCのブログでは、この攻撃は、Microsoftが追跡し、Storm-1359（別名Anonymous Sudan）と特定している脅威アクターによるものだと説明しています。また、顧客データがアクセスされた、または侵害されたことを示す証拠は確認されなかったと強調しています。このDDoS攻撃の目的は、サービスを妨害するとともに、攻撃者であるStorm-1359（別名Anonymous Sudan）への注目を集め、その存在を広く知らしめることでした。

多くのDDoS攻撃がOSI（Open Systems Interconnection）モデルのレイヤー3（ネットワーク層）またはレイヤー4（トランスポート層）を標的とする一方、L7（アプリケーション層）DDoS攻撃はまったく性質が異なります。L7 DDoS攻撃は複雑かつ密かに実行され、正規のWebアプリケーショントラフィックと見分けがつかない傾向があるため、L3やL4のDDoS攻撃よりも検知がはるかに困難です。攻撃者はアプリケーションサーバーの特定のコンポーネントを標的に大量のリクエストを送りつけ、過負荷によって一切のトラフィックに応答できない状態に陥らせます。また、こうした攻撃は形を変え、頻繁に、そして多くの場合は無作為に変化します。

Microsoftによると、同社のサービスを標的としたL7 DDoS攻撃では、「ボットネットとツールの集合」が悪用されました。攻撃者は、仮想プライベートサーバー、クラウド環境、オープンプロキシ、購入または入手したDDoSツールを利用し、複数のクラウドサービスと「オープンプロキシインフラストラクチャ」から攻撃を仕掛けました。

Storm-1359（別名Anonymous Sudan）は、Microsoftに対して3種類のL7 DDoS攻撃を仕掛けました。

HTTP(S)フラッド攻撃。さまざまな地域、送信元IPアドレスの多様なデバイスから送られるSSL/TLSハンドシェイクやHTTP(S)リクエストなどの大量のリクエストによって、CPUやメモリなどのシステムリソースが過負荷となり、アプリケーションサーバーがリクエストを処理できなくなります。
キャッシュバイパス攻撃では、攻撃者が作成して生成したURLにリクエストを送信し、アプリケーションにすべてのリクエストをオリジンサーバーへ転送させることで、コンテンツ配信ネットワーク（CDN）を迂回します。
Slowlorisは、単一のシステムからWebサーバーへの接続を開始し、リソース要求への応答を返さない、または要求の受け入れを遅らせることで、接続を強制的に開いたままにします。

Microsoftはブログ記事で、DDoS攻撃から「お客さまをより適切に保護するため、Azure Web Application Firewall（WAF）の調整を含め、レイヤー7の保護を強化した」と述べています。

Microsoftはさらに、L7（アプリケーション層）DDoS攻撃に対する保護を強化するため、次のようないくつかの対策をお客さまに推奨しました。

Azure WAFまたはその他のL7サービスを使用してWebアプリを保護する
Azure WAFまたは別のサービスのボット対策機能を使用して、悪意のあるボットから保護する
悪意のあるIPアドレスとIPアドレス範囲を特定してブロックする
定義された地理的地域の外部または特定された地域内からのトラフィックをブロック、レート制限、またはリダイレクトする
既知の攻撃シグネチャを活用してカスタムWAFポリシーを作成し、悪意のあるHTTP(S)トラフィックを自動的にブロックまたはレート制限

F5 web app and API security（WAAP）は、複雑で検知が難しいL7 DDoS攻撃からWebアプリケーションを保護できるよう、すでに多くのMicrosoftユーザーやお客さまを支援しています。F5 WAAPは、高く評価されている検知・監視機能を備えたF5 WAFエンジンを基盤としているため、使い慣れた環境で利用できます。F5 WAAPは、必要な提供モデル（ハードウェア、SaaS、Microsoft Azure上のVirtual Editionソフトウェア）を任意に組み合わせて利用でき、アプリケーションのホスティング先を問わず導入できます。各環境のF5 WAAPが連携し、L7 DDoS攻撃に対する包括的な保護を実現します。

受賞歴を誇る、F5のSaaSベースのボット緩和・防御ソリューション「F5 Distributed Cloud Bot Defense」もご利用いただけます。世界最大級の銀行、小売企業、航空会社を保護しています。Distributed Cloud Bot Defenseは、自動化を見破るデバイスおよび行動シグナルに関する比類のない分析に基づき、悪意のあるボットから保護します。

F5のWAAPおよびDDoS対策ソリューションとボット防御の詳細：