DDoS緩和対策とは何か

ビジネスクリティカルなデータやアプリケーションなど、DDoS攻撃に脆弱であることのリスクとDDoS緩和ソリューションの導入が重要な理由を見てきました。次は、DDoS緩和対策の種類を確認してニーズに合った最適なソリューションを見極めましょう。

DDoS攻撃のリスクを緩和するために組織が導入できるオンプレミスのソリューションや対策にはいくつかの種類があります。その一部は、クラウドベースの対策に追加して使用することで、さらに堅牢な全面的な防御態勢を構築できます。

• ネットワーク インフラストラクチャの強化：このソリューションでは、DDoS攻撃に耐えられるようにネットワーク インフラストラクチャを強化します。これには帯域幅の拡大、冗長リンクの追加、ネットワーク デバイスのアップグレードなどが含まれます。
• レート制限とトラフィック シェーピング：このソリューションでは、ネットワークに入るトラフィックの量を制限します。このソリューションを導入するには、ネットワーク デバイスでレート制限を設定するか、トラフィックに優先順位を設定するトラフィック シェーピング技術を使用します。
• ファイアウォールと侵入検知システム（IPS）：このソリューションでは、ファイアウォールとIPSデバイスを使用して悪質なトラフィックを除外します。ファイアウォールは、IPアドレス、ポート、プロトコルに基づいてトラフィックをブロックするのに対し、IPSデバイスはシグネチャに基づいて攻撃を検知してブロックします。

DDoS緩和対策をクラウド ソリューションまたはハイブリッド ソリューションに移行すると、効率性、拡張性、有効性を向上させることができます。一部のクラウドベース ソリューションはオンプレミス ソリューションと統合することができます。クラウドベースのDDoS緩和ソリューションは、クラウドデリバリ ネットワーク（CDN）上で運用します。

• Anycastルーティングでは、トラフィックを処理できる最も近いデータ センタにトラフィックが割り振られます。ネットワークのさまざまな場所にある同じネットワークを知らせることで、そのネットワークに到達するための「移動時間」を短縮します。CDNネットワークでAnycastルーティングを使用すると、より戦略的にトラフィックが分散されるため、受信側のネットワークの表面積が広がり、大量のトラフィックをより多くのデータ センタに再ルーティングできます。
• トラフィック スクラビング センタは、正当なトラフィックから悪質なトラフィックを排除するためのデータ センタです。トラフィック スクラビング センタを使用すると、DDoS攻撃のトラフィックを排除し、クリーンなトラフィックを顧客のサーバに転送して、DDoS攻撃を緩和できます。DDoS攻撃が発生すると、トラフィックは、その分析と選別を行うスクラビング センタ経由でルーティングされます。その後、クリーンなトラフィックが顧客のサーバに転送されます。

DDoS緩和対策をハイブリッド ソリューションに移行すると、パブリック クラウド セキュリティ､プライベート クラウド管理、またはオンプレミス管理のパフォーマンスを最大限に引き出すことができます。ハイブリッド モデルの場合、セキュリティ体制を独自のデータ ニーズに合わせて高度にカスタマイズできます。

包括的なDDoS緩和戦略には通常、主な要素がいくつかあります。

DDoS緩和対策の最初のステップは、潜在的な問題やリスクを検出することです。脅威を特定してアラートをトリガする主な方法には、シグネチャベースの検出と異常ベースの検出の2つがあります。

シグネチャベースの検出では、脅威を特定するための既知のセキュリティ侵害インジケータ（IOC）を事前にプログラムしたリストを利用します。このIOCには、ネットワーク攻撃の悪質な動作、メールの件名の内容、ファイル ハッシュ、既知のバイト シーケンス、悪質なドメインなどを含めることができます。シグネチャベースの検出は、既知の攻撃に対しては高い処理速度を発揮し、誤検出率も低いですが、ゼロデイ攻撃を検出することはできません。

一方、異常ベースの検出は、未知の疑わしい動作についてアラートをトリガすることができます。異常ベースの検出ではまず、正規化されたベースラインをシステムに登録し、動作をこのベースラインと比較します。通常とは何か異なる動作が検出されるとアラートがトリガされます。異常ベースの検出では誤検出率が高くなる可能性があります。

DNSリソースを保護することはビジネスに不可欠です。これに役立つリアルタイムのトラフィック迂回ソリューションは2つあります。

• DNSリダイレクションでは、あるドメイン名からのDNSクエリを別のドメイン名にリダイレクトします。これは、Webサイトを新しいドメイン名に移動した場合や、あるドメイン名から別のドメイン名にトラフィックをリダイレクトする場合に便利な方法です。DNSリダイレクションはDNSゾーン ファイルでCNAMEレコードを使用して実装できます。DNSサーバが、元のドメイン名を問い合わせるDNSクエリを受信すると、新しいドメイン名を指すCNAMEレコードを返します。次にクライアントは、新しいドメイン名を問い合わせる新しいDNSクエリを送信します。
• BGP Anycastでは、インターネット上の複数の場所から同じIPアドレスをアドバタイズします。BGP Anycastでは、Border Gateway Protocol（BGP）を使用して複数の場所からIPアドレスをアドバタイズします。クライアントがDNSクエリをAnycast IPアドレスに送信すると、このクエリはIPアドレスをアドバタイズしている最も近い場所にルーティングされます。これにより、遅延が低減されて、DNSサービスのパフォーマンスと可用性を高めることができます。BGP Anycastは一般的に、さまざまな地理的領域に複数のデータ センタを展開している大規模な組織で採用されています。

組織のニーズを満たすDDoS緩和ソリューションを検討する場合は、ビジネスの成長軌道と想定されるリスク対象を念頭に置いて、以下の要素を考慮してください。また、クラウド サービスを検討している場合は、プライベート クラウド企業だけでなく、パブリック クラウド（AWS、Google Cloud、Microsoft Azure、Alibaba Cloud）から選択することもできるようになりました。

包括的なDDoS緩和ソリューションは、ネットワークに予防の網を張り巡らせ、リアルタイムのインシデント対応、継続的なテストとレビューによって最大限のパフォーマンスを確保します。

ネットワーク アーキテクチャ設計：優れた設計のネットワーク アーキテクチャは、ネットワークのレジリエンスと大量トラフィックへの耐性を確保することで、DDoS攻撃の阻止に貢献します。例えば、複数のセキュリティ レイヤ（ファイアウォール、侵入検知システム、その他のセキュリティ対策）が組み込まれたネットワークは、DDoS攻撃がネットワークに侵入するのを阻止するのに役立ちます。また、ネットワーク セグメンテーションは、影響を受けたネットワークの領域を隔離することで、攻撃の影響を抑えるのに役立ちます。

ロード バランシング：ロード バランシングは、複数のサーバにトラフィックを分散させることでDDoS攻撃を阻止し、1台のサーバに負荷が集中することを回避できます。その結果、DDoS攻撃を受けてもネットワークの可用性を維持することができます。またロード バランサも、悪質なトラフィックの検出とブロックに役立ち、DDoS攻撃の成功を阻止できます。

ベンダーSLAの詳細：DDoS攻撃対策にサード パーティを検討する場合は、あらゆるDDoSシナリオにおけるベンダーの能力を把握し、SLAに手順、措置、対応を組み込むことが重要になります。

DDoSインシデントの処理手順：DDoSインシデントに迅速かつ効果的に対応するための主な手順は6つありますが、重要なのは、これらの手順が直線的ではなく、循環的に行われることです。

1. 準備：連絡網を確立して手続きを定義し、攻撃を受けたときに対応時間を短縮するためのツールを備えます。
2. 検出：インシデントを検出してその範囲を特定し、適切な関係者に通知します。
3. 分析：攻撃トラフィックを分析してその特徴を調べ、標的を見極めます。
   
4. 封じ込め：トラフィックを選別して悪質なトラフィックをブロックすることで攻撃を封じ込めます。
   
5. 根絶：悪質なトラフィックをネットワークから排除することで攻撃を根絶します。
   
6. 復旧：サービスを復元してインシデントをレビューすることで攻撃からの復旧を図ります。
   

DDoSインシデント時の緩和対策プロバイダとの連絡手順：発生当初から、企業とその緩和対策プロバイダが厳密な連絡手順に従うことが重要です。インシデント時の連絡について推奨されるベスト プラクティスは以下のとおりです。

• 連絡計画を立てる：攻撃が発生する前にDDoS緩和対策プロバイダと話し合って連絡計画を立てておきます。この計画には、主要人員の連絡先情報、エスカレーション手順、連絡経路を含めます。
• 詳細情報を提供する：攻撃のタイプ、標的、攻撃の持続時間など、攻撃に関する詳細情報をDDoS緩和対策プロバイダに提供します。この情報は、プロバイダが効果的な緩和戦略を立てる上で役立ちます。
• プロバイダと連携する：DDoS緩和対策プロバイダと緊密に連携して、組織のニーズに合わせて緩和戦略を立てます。この戦略には、トラフィック ルーティングの調整やトラフィックの選別、悪質なトラフィックのブロックなどが含まれます。
  
• 状況を監視する：状況を注意深く監視し、DDoS緩和対策プロバイダに最新情報を定期的に提供します。これにより、プロバイダは必要に応じて緩和戦略を調整できます。
  
• インシデントをレビューする：攻撃を緩和した後は、DDoS緩和対策プロバイダとともにインシデントをレビューして、改善の余地のある領域を見極め、必要に応じてインシデント対応計画を更新します。