西部最速のDDoS攻撃緩和

Jay Kelleyプロダクトマーケティング担当シニアマネージャー | F5

日々、規模を問わずあらゆる企業が、ハッキングやネットワーク攻撃にさらされています。こうした攻撃の頻度と件数は、収束の兆しもなく、制御不能とも思える勢いで増え続けています。しかし、深刻なのは攻撃の多さだけではありません。その執拗さと悪意も重大な問題です。

組織とそのアプリケーションを機能不全に陥らせる、基本的でありながら効果的なネットワーク攻撃の代表例が、分散型サービス拒否（DDoS）攻撃です。DDoS攻撃には複数の種類があります。一般的なDDoS攻撃では、通常、ボットのように動作する複数の侵害されたシステムやデバイスから絶え間なく大量のトラフィックを送り込み、ネットワーク防御を圧倒しようとします。こうしたボリューム型攻撃は、ネットワークの処理能力、特に1秒あたりの接続数（CPS）の処理能力を超過させるよう設計されています。これはランプアップレートと呼ばれます。ネットワーク防御にトラフィックを殺到させて圧倒し、最終的にリソースを枯渇させることで、実在する正規ユーザーのトラフィックによるアクセスを妨げることを目的としています。

これは、人体が重い感染症に対処する仕組みに似ています。白血球は全力で感染症と闘いますが、最初の重い感染症への対処で身体の防御機能が手いっぱいになるため、残念ながら別の二次感染を許しやすくなります。サイバー攻撃でも同じことが起こります。DDoS攻撃は陽動にも利用されます。組織が既知のDDoS攻撃への対処に防御態勢と労力を集中させている間に、二次感染のような別の攻撃がネットワークに侵入し、データを窃取するなどの被害をもたらす可能性があります。防御側の注意が、より目立つDDoS攻撃に向けられている隙を突くのです。

別の形態のDDoS攻撃では、大量の正規接続を利用してステートフルな防御デバイスのメモリを逼迫させ、過負荷にすることで、正規接続を拒否せざるを得ない状態にします。また、ネットワークを大量のリクエストであふれさせるのではなく、悪意のあるデータを1文字ずつ送信し、重要なメモリを消費することでネットワークを極端に低速化させるタイプのDDoS攻撃もあります。さらに、こうした異なる攻撃タイプを1つ以上組み合わせるハイブリッドDDoS攻撃も存在します。

こうした攻撃によるコストについても考えてみましょう。情報サービス企業Neustarによると、単純なDDoS攻撃によって銀行などの金融機関が被るコストは、約10万ドル（1時間あたり¹）に上ります。Kaspersky Labsの「DDoS Intelligence Report」²によると、2015年に最も長く続いたDDoS攻撃は371時間に及びました。このDDoS攻撃が銀行などの金融機関を標的としていた場合、その企業の損失は3,710万ドルを超えていた可能性があります。

さらに追い打ちをかけるように、Arbor Networksの第11^th回年次Worldwide Infrastructure Security Report³によると、2015年に観測されたDDoS攻撃の最大規模は500 Gbpsでした。

アプリケーションセキュリティへの疑問

企業を狙う攻撃が猛威を振るい、悪質さを増すなか、セキュリティ意識の高い組織でさえ、自社のアプリケーション防御に疑問を抱きかねません。悪意ある攻撃やその有害なペイロードによってアプリケーションやデータが被害を受け、データの破壊や甚大な損害がもたらされないと、どうすれば確信できるのでしょうか。さらに深刻なのは、ユーザー、従業員、患者などの重要な機密データが人質に取られ、身代金を要求される事態です。卑劣なDDoS攻撃の次の標的にならないと、どうすれば確信できるのでしょうか。こうした攻撃は、企業のリソースやユーザー、さらにはブランドや評判にどのような影響を及ぼすのでしょうか。

現在、そして将来にわたり、企業は、絶えず増加し、悪い方向へと進化する攻撃に対処するため、極めて高いレベルの同時処理能力、接続性、スループットを必要とします。強力な多層防御に加え、高いスケーラビリティと、さらに優れたパフォーマンスが求められます。

企業には、現在も将来もF5が必要です。

迅速なDDoS緩和で企業の力を引き出す

業界をリードする同時接続性能とスループットを備え、2016年2月22^日に発表された100GbE F5 VIPRION B4450ブレードは、企業のネットワーク、アプリケーション、データを安全に保ちます。F5の高性能なステートフル・フルプロキシ・ファイアウォールであるBIG-IP Advanced Firewall Manager (AFM)のフルプロキシ方式と組み合わせて導入すると、F5の4ブレードVIPRION C4450または8ブレードC4800シャーシで稼働するNEBS準拠のVIPRION B4450ブレードがDDoS攻撃を迅速に緩和し、さまざまなDoSおよびDDoS脅威から企業を保護します。この新しいブレードは、DDoS攻撃時に悪意のある接続と正当な接続を迅速に識別し、悪意のある接続がネットワークやアプリケーションのリソースを消費して過負荷に陥らせる前に吸収または破棄します。

悪質な攻撃を防ぎ、ネットワーク、アプリケーション、データを保護する必要性が高まる中、企業はすでに多額に上るセキュリティ投資をさらに継続しています。F5 VIPRION B4450ブレードは、VIPRION C4480およびC4800シャーシと組み合わせることで、企業の取り組みを支援します。市場をリードする10億超の同時接続への対応により、増え続けるユーザー、アプリケーション、データを容易に処理できます。BIG-IP AFMと組み合わせたVIPRION B4450ブレードおよびC4450またはC4800シャーシは、企業とそのネットワーク、アプリケーション、データを確実に保護し、安全性を確保します。

L7攻撃からの防御

大規模なトラフィックを伴うDDoS攻撃が注目を集める一方で、アプリケーション攻撃も増加しており、さらに危険かつ巧妙になっています。VIPRION B4450ブレードは、他のF5ブレードやシャーシを飛躍的に上回るレイヤー7スループットを備え、極めて活発で悪質なアプリケーション攻撃にも対処するために必要な性能を発揮します。また、アプリケーション攻撃ベクトルを緩和するとともに早期警告を提供し、複数の攻撃ベクトルを同時に用いる攻撃の大半に対して優れた防御効果を発揮します。

F5のアジャイルでスケーラブルなWebアプリケーションファイアウォール（WAF）であるBIG-IP Application Security Manager (ASM)と組み合わせることで、F5 VIPRION B4450ブレードは、ほぼあらゆるL7攻撃を緩和し、防御します。BIG-IP Application Security Manager (ASM)は、F5のアプリケーションに関する深い知見を活用してHTTPベースの攻撃を検知・緩和し、包括的なポリシーベースのWebアプリケーションセキュリティによって重要なアプリケーションを保護します。また、きめ細かな攻撃を検知・緩和し、可視化するレイヤー7 DDoS防御も提供します。

ネットワークおよびアプリケーションへの攻撃は記録的なペースで増加しており、IBMがスポンサーを務めたPonemon Instituteの最近のレポートでは、年間のサイバー攻撃件数は⁴150万件に上るとされています。また、その被害額もかつてないほど増加しています。Juniper Research⁵は最近のレポートで、2019年までにサイバー犯罪による企業の年間損失額が2.1兆ドルを超えると述べています。企業は、自社、従業員、患者、ユーザー、ネットワーク、アプリケーション、データ、そして企業の評判を守るために、あらゆる対策を講じる必要があります。同時接続数は、スマートデバイスの性能向上、デバイス1台あたりのアプリ数の継続的な増加、1人あたりの接続デバイス数の増加に伴って拡大しています。こうした課題に対処するには、最高水準の容量、スループット、パフォーマンスを備え、必要に応じて拡張できるソリューションが必要です。さらに、コスト増につながる変更や交換を必要とせず、今や不可欠となったセキュリティの急速な変化に対応できる、革新性と技術的な成長性も求められます。

だからこそ、今日の企業にはF5と100GbE対応のVIPRION B4450ブレードが必要です。

参考資料

¹Neustar、「短時間化・激化するDDoS攻撃により、銀行は1時間当たり最大10万ドルの損失」、Penny Crossman著、American Banker、2015年4月23日

²DDoSインテリジェンスレポート、2015年第4四半期、Kaspersky Labs

³11^th Annual Worldwide Infrastructure Security Report、Arbor Networks

⁴2015年データ侵害コスト調査、Ponemon InstituteおよびIBM

⁵サイバー犯罪とセキュリティの未来：金融および企業に対する脅威とその軽減策、Juniper Research、2015年5月

著者について

Jay Kelleyプロダクトマーケティング担当シニアマネージャー | F5

Jay Kelleyのその他のブログ記事