交通渋滞は楽しいものではありません。しかし、デジタル上の渋滞はさらに厄介かもしれません。銀行のモバイルアプリで口座残高を確認しようとユーザー名とパスワードを入力したものの、表示されるのは読み込み中の円だけ。ブラウザが銀行のサーバーへの接続を試みる間、期待と不安を募らせながら待ち続ける――そんな経験は何度ありませんか。
残念ながら、これは珍しいことではありません。世界中の大小さまざまな銀行が、分散型サービス拒否（DDoS）攻撃を憂慮すべき頻度で受けています。これはある程度、無理もないことです。優れたアプリケーションセキュリティおよびデリバリー戦略は、エンドユーザーに高速で信頼性とセキュリティに優れたアプリケーション体験を提供するために、相互に連携する一連のテクノロジーとプラクティスで構成されます。銀行で一般的に使用されるような複雑なアプリケーションには、その性質上、多様な攻撃につながる多くの経路が存在します。昨年だけでも、欧州の金融機関では、前年比でDDoS攻撃が73%増加しました。DDoS攻撃とは、言い換えれば、悪意のある攻撃者が意図的にトラフィック渋滞を引き起こすことです。標的のサーバーをクラッシュさせるか、正規のトラフィックが必要なアプリケーションにアクセスできなくなるほど処理速度を低下させるまで、システムリソースを枯渇させようとします。これは、誰かがあなたの出勤を遅らせるためだけに、現実の道路で渋滞を引き起こすようなものです。こうした攻撃がもたらす悪影響は明らかです。収益の損失、企業の評判低下、そしてページやアプリの読み込みに競合他社のアプリへ移ってしまう可能性がある不満を抱えた顧客です。読み込みに2秒を超える時間がかかる場合、こうした顧客離れにつながりかねません。
増大する脅威：ボリューム型DDoS攻撃
ここから、こうした攻撃は軽い頭痛では済まず、激しい頭痛の種になります。悪意のある攻撃者がアプリケーションに仕掛けられるDDoS攻撃には数十種類もの手口があり、DDoS攻撃はOSIモデルの複数のレイヤーを狙い、アプリのユーザーとプロバイダーの双方に深刻な被害をもたらします。まるでバスキン・ロビンスを悪趣味にまねた「サービス拒否の31種類のフレーバー」です。しかし、特にトランスポート層（OSIモデルのレイヤー4）で多発する、最も一般的で厄介なDDoS攻撃が、ボリューム型DDoS攻撃です。ボリューム型DDoS攻撃の具体的な手法はさまざまですが、最終的な結果は同じです。攻撃者は標的サーバーに大量のトラフィックを送り込み、CPUとメモリを限界まで消費させることで誤動作を引き起こし、正規かどうかを問わず、接続しているすべてのクライアントへのサービスを妨害します。さらに厄介なのは、攻撃にほとんど費用がかからず、ダークウェブにアクセスできれば、ほぼ誰でも実行できることです。攻撃者は1時間当たりわずか数ドルでアプリケーションやWebサイトを事実上停止させることができ、被害者は事業収益で数百万ドルもの損失を被る可能性があります。
これらの攻撃が重大である理由：そのコスト
言うまでもなく、この種の攻撃は、日常生活に必要なアプリケーションへアクセスしようとするユーザーに大きな負担をもたらします。しかし、こうした状況でさらに大きなストレスにさらされるのが、アプリケーションの可用性とセキュリティを維持するために舞台裏で対応するNetOpsチームとSecOpsチームです。両チームにとって、どのようなDDoS攻撃も単なる不便では済みません。1か月間の業務全体を混乱させ、ほかのプロジェクトに支障を来し、復旧に貴重な時間、費用、人員を費やす事態になりかねません。
金銭的な影響に加え、これらの攻撃がもたらす人的被害も決して軽視できません。DDoS攻撃が陽動として使われ、サービスを妨害するだけでなく、攻撃者が被害者のデータベースからユーザーの個人情報を窃取し、被害と混乱をさらに拡大させる場合もあります。個人を特定できる情報（PII）が悪意ある者の手に渡り、信頼ある企業が社会的信用を失い、さまざまな運用チームが事後対応や復旧作業に膨大な時間を費やす一方で、事業の生命線であるアプリケーションは長期にわたるダウンタイムに見舞われます。
セキュアなアプリケーションデリバリを実現するF5ソリューション
しかし、悲観することばかりではありません。F5のBIG-IP Local Traffic Manager (LTM)は、アプリケーションと、その停止を試みる悪意のあるユーザーとの間で緩衝役を果たし、DDoS攻撃を受けてもアプリケーションの稼働を維持することに優れています。すでに環境にBIG-IP LTMを導入している場合、ネットワーク層（レイヤー3）とレイヤー4における保護を強化できます。これは、ネットワーク層とトランスポート層でDDoS攻撃を検知し、緩和できるためです。BIG-IP LTMはこれらの層に優れたセキュリティソリューションを提供しますが、唯一のセキュリティソリューションとして導入するだけでは、包括的なアプリケーションセキュリティ戦略にはならない点に注意が必要です。複数の種類の脅威に対処できるようアプリケーションデリバリ戦略を進化させるには、アプリケーション層（レイヤー7）への攻撃の緩和を、優先事項の最上位またはそれに近い位置に置く必要があります。
この種の攻撃は密かに進行するため、従来の防御メカニズムでは検知が極めて難しく、特に深刻な問題となる可能性があります。トランスポート層やネットワーク層に対するボリューム型DDoS攻撃は、トラフィックの急増として現れることがありますが、レイヤー7攻撃は潜伏し、正規のアプリケーショントラフィックに紛れ込みながら徐々に規模を拡大し、最終的にサーバーとアプリケーションを過負荷状態にして、正規のアプリケーショントラフィックからのリクエストを拒否させます。
BIG-IP Advanced WAFによる包括的な保護
こうした要因により、レイヤー7 DDoS攻撃はNetOpsチームやSecOpsチームにとって特に厄介なものとなり得ます。他の種類のDDoS攻撃よりも長期間検知されないまま、オンライン事業の一部を丸ごと停止させる可能性があるためです。この種の攻撃がもたらし得る被害について詳しくは、同僚のJay Kelleyによる、優れた記事をご覧ください。MicrosoftのOutlook、OneDrive、Azure Portalの各アプリケーションに悪影響を及ぼしたレイヤー7 DDoS攻撃について解説しています。ユーザー向けアプリケーションを提供しているのであれば、レイヤー7の保護は不可欠です。アプリケーションデリバリー戦略へのBIG-IP Advanced WAFの追加をご検討ください。これは専用のWebアプリケーションファイアウォール（WAF）であり、あらゆるBIG-IP LTM環境を補完します。より多くのレイヤーをカバーするアプリケーションセキュリティ戦略を実現し、運用担当者とユーザー双方にさらなる安心をもたらします。DDoS攻撃の種類と、それぞれが影響を及ぼすOSIレイヤーについて詳しくは、DDoS攻撃に関するCISAガイドをご覧ください。BIG-IP Advanced WAFの機能を評価するためのデモをご希望の場合は、F5の営業チームまでお問い合わせください。
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。