分散型サービス拒否（DDoS）攻撃は、特定のアプリケーションやWebサイトを標的としてシステムのリソースを枯渇させ、正規ユーザーが接続または利用できない状態にするサイバー攻撃の一種です。2023年には、 アプリケーション層への攻撃が165%増加し、あらゆる業種の中でテクノロジー業界が最も多く攻撃を受けました。そのため、稼働時間とレジリエンスを維持するには、包括的なDDoS緩和ソリューションの導入が不可欠です。
DDoS攻撃の主要概念
DDoSの緩和手法やソリューションについて詳しく見る前に、現在のDDoS脅威を深く理解することが重要です。分散型サービス拒否（DDoS）攻撃は 分散型サービス拒否（DDoS）攻撃 標的のリソースに大量のトラフィックを送り込むことでインフラストラクチャの機能を低下させます。過負荷により、最終的には稼働不能に陥ります。また、DDoS攻撃では、特別に細工されたメッセージを送信してアプリケーションのパフォーマンスを低下させる場合もあります。DDoS攻撃は、ファイアウォールのステートテーブルなどのネットワークインフラストラクチャだけでなく、サーバーやCPUなどのアプリケーションリソースも標的にする可能性があります。
DDoS攻撃は、オンラインサービスの可用性と完全性を損ない、深刻な混乱を引き起こす可能性があります。その結果、金銭的損失や評判の低下につながるおそれがあります。また、悪意のある攻撃者が重要なデータにアクセスするための陽動として利用されることもあります。
DDoS攻撃は、サービス拒否（DoS）攻撃の一種です。DoS攻撃は、ネットワーク、サーバー、またはWebサイトに大量のトラフィックを送り付け、正常な動作を妨害しようとします。一方、DDoS攻撃では、複数のデバイスを使用して標的に大量のトラフィックを送り付けます。DDoS攻撃では複数のシステムが単一のシステムを攻撃するため、はるかに大きな脅威となり、阻止することもより困難です。
7層のOpen Systems Interconnection（OSI）モデルで見られる一般的なDDoS攻撃の種類は、次のとおりです。
- ボリューム型攻撃は、膨大な量のトラフィックでネットワークを圧倒し、機能停止に陥らせることを目的としています。通常、この攻撃にはボットネットが使用されます。ボットネットとは、単一の攻撃者によって制御される、侵害されたデバイスのネットワークです。
- プロトコル攻撃は、OSIモデルのネットワーク層を標的とし、TCP/IP、ICMP、UDPなどのネットワークプロトコルの脆弱性を悪用します。これらの攻撃は、ファイアウォール、ルーター、ロードバランサーなどのネットワークデバイスのリソースに過剰な負荷をかけ、サービスを中断させることを目的としています。「計算量攻撃」とも呼ばれます。
- アプリケーション層攻撃は、OSIモデルのアプリケーション層を標的とし、HTTP、HTTPS、DNSなどのWebアプリケーションの脆弱性を悪用します。これらの攻撃は、Webサーバーのリソースを枯渇させ、サービスを中断させることを目的としています。
DDoS攻撃で一般的に使用される攻撃ベクトル：
- UDPフラッド：この攻撃では、標的のサーバーにUser Datagram Protocol（UDP）パケットを大量に送り付け、サーバーのクラッシュや応答停止を引き起こす可能性があります。
- TCP SYNフラッド：この攻撃は、Transmission Control Protocol（TCP）が2つのデバイス間の接続を確立する際に使用する3ウェイハンドシェイクのプロセスを悪用します。攻撃者は標的サーバーに大量のSYNパケットを送信し、応答不能に陥らせる可能性があります。
- HTTPフラッド：この攻撃は、標的のサーバーに大量のHTTPリクエストを送信してWebサーバーを狙うもので、サーバーが応答しなくなる可能性があります。
- DNS増幅攻撃： この攻撃は、ドメインネームシステム（DNS）を悪用し、標的のサーバーに大量のDNS応答パケットを送り付けます。その結果、サーバーが応答しなくなる可能性があります。
- NTP増幅：この攻撃は、Network Time Protocol（NTP）を悪用して標的サーバーに大量のNTP応答パケットを送り付け、応答不能に陥らせる可能性があります。
- SSDP増幅：この攻撃は、Simple Service Discovery Protocol（SSDP）を悪用して標的サーバーにSSDP応答パケットを大量に送り付け、応答不能に陥らせる可能性があります。
- SYN-ACKフラッド：この攻撃は、TCPの3ウェイハンドシェイクプロセスを悪用し、標的サーバーに大量のSYN-ACKパケットを送信します。その結果、サーバーが応答しなくなる可能性があります。
- HTTP slow read: この攻撃は、標的サーバーにHTTPリクエストを送信する一方でレスポンスを低速で読み取るため、サーバーが応答しなくなる可能性があります。
- Ping of death：この攻撃では、標的サーバーに規定サイズを超えるpingパケットを送信します。これにより、サーバーがクラッシュしたり、応答しなくなったりする可能性があります。
- Smurf攻撃：この攻撃は、Internet Control Message Protocol（ICMP）を悪用し、複数の送信元から標的サーバーに大量のpingリクエストを送り付けます。その結果、サーバーが応答しなくなる可能性があります。
- 高負荷URL： 攻撃計画の偵察段階で、攻撃者はWebサイト上で最も多くの計算リソースを消費するURLを探し出し、DDoS攻撃に利用します。これらは、リクエスト時にサーバーへより大きな負荷をかけるため、「高負荷」URLと呼ばれます。
- 低速かつ長時間にわたる攻撃： この種のDDoS攻撃は、ごくわずかな帯域幅を使用し、気付かれないよう密かにアプリケーションリソースを停止させることを目的としています。そのため検知が困難です。また、TCP接続がすでに確立されているアプリケーション層で発生するため、HTTPリクエストは正当なものに見えます。
そのため、DDoS攻撃は極めて大きな脅威であり、企業がサイバー攻撃に対してさらに脆弱になる可能性があります。DDoS攻撃がどのように発生するかを理解し、緩和策を講じることが不可欠です。
サイバーセキュリティポリシーにDDoS対策を導入することが可用性の確保に不可欠な理由：
DDoS攻撃は、長時間のダウンタイムやサービスの可用性低下を引き起こし、経済的損失や評判の低下につながる可能性があります。
保護：DDoS緩和策を導入することで、正規ユーザーがWebサイトやWebアプリケーションにアクセスできる状態を確保しながら、悪意のあるトラフィックが自社のネットワークインフラに到達するリスクを軽減できます。DDoS攻撃は、データ侵害につながる可能性のある組織的な攻撃キャンペーンからセキュリティチームの注意をそらすため、隠れみのとして利用されることがあります。また、攻撃の種類によっては、単に「コーディング」で排除することはできません。
レジリエンス：効果的なDDoS緩和テクノロジーへの投資により、国家を背景とする攻撃者やその他の悪意ある攻撃者に対する組織のレジリエンスが向上し、攻撃対象として狙われにくくなります。
コスト削減：DDoS攻撃を迅速に緩和することで、組織は時間とコストを節約できます。
サイバーセキュリティポリシーにDDoS攻撃の緩和策を組み込むことで、組織はリソースをプロアクティブに保護し、サービスの可用性を維持するとともに、潜在的なDDoS攻撃の影響を最小限に抑えることができます。
DDoS攻撃の緩和手法
これまでに、DDoS攻撃に対して脆弱であることで、ビジネスに不可欠なデータやアプリケーションなどがどのようなリスクにさらされるのか、またDDoS緩和ソリューションの導入がなぜ重要なのかを説明しました。次に、ニーズに最適なソリューションを判断できるよう、DDoS緩和の種類を確認します。
オンプレミスDDoS緩和
組織がDDoS攻撃のリスクを軽減するために導入できるオンプレミスのソリューションや対策には、いくつかの種類があります。その一部はクラウドベースのソリューションと併用することで、全体的な防御態勢をさらに強化できる場合があります。
- ネットワークインフラストラクチャの強化：このソリューションでは、DDoS攻撃に耐えられるよう、ネットワークインフラストラクチャを強化します。具体的には、帯域幅の拡大、冗長リンクの追加、ネットワークデバイスのアップグレードなどが含まれます。
- レート制限とトラフィックシェーピング：このソリューションでは、ネットワークに流入できるトラフィック量を制限します。実装方法としては、ネットワークデバイスにレート制限を設定するか、トラフィックシェーピング技術を使用してトラフィックに優先順位を付けます。
- ファイアウォールと侵入防止システム（IPS）：このソリューションでは、ファイアウォールとIPSデバイスを使用して悪意のあるトラフィックを除外します。ファイアウォールはIPアドレス、ポート、プロトコルに基づいてトラフィックをブロックでき、IPSデバイスはシグネチャに基づいて攻撃を検知し、ブロックできます。
クラウドベースのDDoS緩和
DDoS対策をクラウドまたはハイブリッドソリューションに移行することで、効率、拡張性、有効性の向上に役立ちます。一部のクラウドベースのソリューションは、オンプレミスのソリューションと統合できます。クラウドベースのDDoS対策ソリューションは、クラウド配信ネットワーク（CDN）上で動作します。
- Anycastルーティングは、トラフィックを処理可能な最寄りのデータセンターに分散します。同じネットワークをネットワーク内の異なる場所からアナウンスすることで、そのネットワークに到達するまでの「移動時間」を短縮します。CDNネットワークでAnycastルーティングを使用すると、トラフィックをより戦略的に分散できます。これにより、受信側ネットワークの受け入れ範囲が広がり、大量のトラフィックをより多くのデータセンターへ再ルーティングしやすくなります。
- トラフィックスクラビングセンターは、正規のトラフィックから悪意のあるトラフィックを除去するように設計されたデータセンターです。攻撃トラフィックを除去し、クリーンなトラフィックをお客さまのサーバーに転送することで、DDoS攻撃を緩和します。DDoS攻撃が発生すると、トラフィックはスクラビングセンターを経由し、そこで分析およびフィルタリングされます。その後、クリーンなトラフィックがお客さまのサーバーに転送されます。
ハイブリッドクラウドベースのDDoS緩和
DDoS対策をハイブリッドソリューションに移行することで、パブリッククラウドのセキュリティと、プライベートクラウドまたはオンプレミスの管理、それぞれの利点を活用できます。ハイブリッドモデルにより、企業は固有のデータ要件に合わせてセキュリティ態勢をさらに調整できます。
アプリケーションDDoS攻撃の緩和
アプリは現代のビジネスを支える原動力ですが、DDoS攻撃の標的となるケースが増えています。従来のDDoS対策は静的かつ一元的です。しかし、アプリは複数のクラウドやアーキテクチャに分散しているため、最大限の保護を実現するには、拡張性と柔軟性を備えたDDoS対策ソリューションが必要です。
DDoS緩和の構成要素
包括的なDDoS緩和戦略には、通常、いくつかの主要な要素が含まれます。
トラフィックの分析と監視
DDoS攻撃の緩和では、潜在的な問題やリスクの検出が最初のステップとなります。脅威を特定してアラートを発する主な方法には、シグネチャベースの検出と異常ベースの検出の2つがあります。
シグネチャベースの検知では、事前にプログラムされた既知の侵害指標（IOC）のリストを使用して脅威を特定します。これらのIOCには、悪意のあるネットワーク攻撃の挙動、メールの件名の内容、ファイルハッシュ、既知のバイト列、悪意のあるドメインなどが含まれます。シグネチャベースの検知は、既知の攻撃を高速に処理でき、誤検知率も低い一方で、ゼロデイエクスプロイトは検知できません。
異常ベースの検知は、その一方で、未知の不審な挙動を検知してアラートを発することができます。 異常ベースの検知では、まず正規化されたベースラインを使用してシステムをトレーニングし、アクティビティをそのベースラインと比較します。通常とは異なる事象を検知すると、アラートがトリガーされます。異常ベースの検知では、誤検知率が高くなる場合があります。
リアルタイムのトラフィック迂回
DNSリソースの保護は、ビジネスにとって極めて重要です。2つのリアルタイムトラフィック迂回ソリューションが、その保護を支援します。
- DNSリダイレクトでは、DNSクエリをあるドメイン名から別のドメイン名にリダイレクトします。Webサイトを新しいドメイン名に移行した場合や、企業があるドメイン名から別のドメイン名にトラフィックをリダイレクトする場合に役立ちます。DNSリダイレクトは、DNSゾーンファイルのCNAMEレコードを使用して実装できます。元のドメイン名に対するDNSクエリを受信すると、DNSサーバーは新しいドメイン名を指すCNAMEレコードを返します。その後、クライアントは新しいドメイン名に対するDNSクエリを新たに送信します。
- BGP Anycastでは、インターネット上の複数の拠点から同じIPアドレスを広報します。BGP Anycastは、Border Gateway Protocol（BGP）を使用して、複数の拠点からIPアドレスを広報します。クライアントがAnycast IPアドレスにDNSクエリを送信すると、そのクエリは、IPアドレスを広報している最寄りの拠点にルーティングされます。これにより、レイテンシーが短縮され、DNSサービスのパフォーマンスと可用性の向上に役立ちます。BGP Anycastは通常、地理的に異なる地域に複数のデータセンターを持つ大規模な組織で使用されます。
攻撃のフィルタリングと無害化
ネットワークに向かい、ネットワーク内を通過するトラフィックを継続的に監視し、悪意のあるアクティビティを検出するDDoS対策ソリューションが必要です。
- 悪意のあるトラフィックの特定では、クライアントからのトラフィックをアプリケーション層に転送する前に検査し、悪意のあるトラフィックがプロキシの境界を通過しないようにします。サーバーから返されるトラフィックは、クライアントへの返送が許可される前に、すべて検査できます。これにより、クレジットカード番号や個人を特定できる情報（PII）などの機密データがプロキシの境界を通過しないようにします。
- スクラビングアルゴリズムと各種手法を使用して、ネットワークに流入する悪意のあるトラフィックを検出し、除去します。スクラビングセンターはトラフィックが最初に通過する場所です。ここでは、トラフィックの特性と想定される攻撃手法に基づいてトリアージを行います。トラフィックがスクラビングセンターを通過する間も継続的に検査し、悪意のあるトラフィックが完全に除去されたことを確認します。DDoS攻撃によってお客さま環境への受信回線が容易に飽和する可能性があるため、このセキュリティ制御は極めて重要です。
プロバイダー選定時に考慮すべきDDoS攻撃緩和の要素
組織のニーズに適したDDoS緩和ソリューションを検討する際は、事業の成長見通しと潜在的なリスク領域を念頭に置き、以下の要素を比較検討する必要があります。また、クラウドサービスを検討する場合は、複数のパブリッククラウド（AWS、Google Cloud、Microsoft Azure、Alibaba Cloud）に加え、プライベートクラウド事業者からも選択できます。
DDoS対策プロバイダーを選ぶ際の考慮事項
- スケーラビリティ：ソリューションは、企業ネットワークのトラフィック量を処理でき、スケールアップまたはスケールダウンを必要に応じて行える必要があります。
- 柔軟性：ソリューションには、変化し続けるDDoS攻撃の性質に適応できる十分な柔軟性があり、新たな攻撃ベクトルから保護できることが求められます。
- 信頼性：ソリューションには信頼性が求められ、正規のトラフィックに影響を与えることなく、攻撃をリアルタイムで検知して緩和できる必要があります。
- 費用対効果：ソリューションは、コスト効率に優れ、価格に見合う価値を提供する必要があります。
- 使いやすさ：ソリューションは、導入、設定、管理が容易である必要があります。
- サポート：ソリューションには、必要なときに迅速に対応できるサポートチームが必要です
DDoS攻撃緩和のベストプラクティス
包括的なDDoS対策ソリューションは、予防的なネットワーク保護、リアルタイムのインシデント対応、継続的なテストとレビューを通じて、最高のパフォーマンスの確保を支援します。
プロアクティブな対策
ネットワークアーキテクチャ設計：適切に設計されたネットワークアーキテクチャは、ネットワークのレジリエンスを確保し、大量のトラフィックに耐えられるようにすることで、DDoS攻撃の防止に役立ちます。たとえば、ファイアウォール、侵入検知システム、その他のセキュリティ対策を含む多層的なセキュリティを備えたネットワーク設計は、DDoS攻撃によるネットワークへの侵入防止に役立ちます。また、ネットワークをセグメント化して影響を受けた領域を隔離することで、攻撃の影響を抑えることができます。
負荷分散：負荷分散では、トラフィックを複数のサーバーに分散することで、DDoS攻撃の防止に役立ちます。これにより、特定のサーバーへの過負荷を防ぐことができます。また、DDoS攻撃中でもネットワークの可用性を維持するのに役立ちます。ロードバランサーは悪意のあるトラフィックの検出とブロックにも役立つため、DDoS攻撃の成功を防止できます。
ベンダーの詳細なSLA：DDoS攻撃対策を第三者に委託する場合は、あらゆるDDoSシナリオにおけるベンダーの対応能力を把握し、プロトコル、措置、対応をSLAに盛り込むことが不可欠です。
インシデント対応
DDoSインシデントへの対応手順： DDoSインシデントに迅速かつ効果的に対応するには、6つの主要な手順があります。ただし、これらの手順は直線的に進むのではなく、循環的に繰り返される点が重要です。
- 準備：攻撃発生時の対応時間を短縮するため、連絡先を確保し、手順を定め、ツールを用意します。
- 検知：インシデントを検知し、その範囲を特定して、適切な関係者に対応を依頼します。
- 分析：攻撃トラフィックを分析して、その特性を把握し、標的を特定します。
- 封じ込め：トラフィックをフィルタリングし、悪意のあるトラフィックをブロックして、攻撃を封じ込めます。
- 根絶：ネットワークから悪意のあるトラフィックを排除し、攻撃を根絶します。
- 復旧：サービスを復旧し、インシデントを検証することで、攻撃から復旧します。
DDoSインシデント発生時のミティゲーションプロバイダーとの通信手順：企業とミティゲーションプロバイダーが当初から厳格な通信手順に従うことが重要です。インシデント発生時のコミュニケーションについて、以下のベストプラクティスを推奨します：
- コミュニケーション計画を策定する：攻撃が発生する前に、DDoS緩和サービスプロバイダーとのコミュニケーション計画を策定します。この計画には、主要担当者の連絡先情報、エスカレーション手順、連絡手段を含めます。
- 詳細情報を提供する：攻撃の種類、標的、継続時間など、攻撃に関する詳細情報をDDoS緩和サービスプロバイダーに提供します。この情報は、プロバイダーが効果的な緩和戦略を策定するうえで役立ちます。
- プロバイダーと連携する：DDoS緩和プロバイダーと緊密に連携し、組織のニーズに合わせた緩和戦略を策定します。これには、トラフィックルーティングの調整、トラフィックのフィルタリング、悪意のあるトラフィックのブロックなどが含まれる場合があります。
- 状況の監視：状況を注意深く監視し、DDoS緩和サービスプロバイダーに定期的に最新情報を提供します。これにより、プロバイダーは必要に応じて緩和戦略を調整できます。
- インシデントをレビューする：攻撃が緩和された後、DDoS緩和サービスプロバイダーとともにインシデントをレビューし、改善点を特定して、必要に応じてインシデント対応計画を更新します。
定期的なテストと見直し
ITチームとセキュリティチームは、分析とテストを定期的に実施する必要があります。テストの一種に「レッドチームテスト」があり、実際の攻撃者が用いる戦術や手法をシミュレーションします。この場合、レッドチームのテスターはさまざまなDDoS攻撃を試行し、緩和ソリューションの応答を監視します。
世界中の悪意ある攻撃者が手法を変え続ける中、サイバー攻撃の動向を常に把握しておくことも極めて重要です。緩和ソリューションには、拡張性に加え、新たな種類の障害にも適応できる柔軟性が求められます。
DDoS緩和の導入事例
業種や規模、事業展開地域を問わず、信頼性の高いDDoS対策ソリューションを導入することでメリットが得られます。これらの事例では、さまざまな状況でDDoS対策ソリューションがどのように効果を発揮するかをご紹介します。同様の課題を抱える企業がDDoSリスクへの対策に取り組み、測定可能な成果を上げています。
- 導入事例：大手保険会社が、アプリケーションとユーザーの保護を支援しながら、DDoS攻撃の試みをどのように阻止したかをご覧ください。
- 動画：F5がメールプロバイダーによるネットワーク機器の統合を支援し、潜在的な攻撃対象領域を縮小して運用上のセキュリティを強化した方法をご覧ください。
DDoS緩和の今後のトレンド
DDoS攻撃は数十年前から存在していますが、攻撃を仕掛ける悪意ある者の手口はますます巧妙かつ攻撃的になっています。そのため、サイバーセキュリティにおけるDDoS分野の現在および今後のトレンドを把握しておくことが重要です。
F5は、2023年の主な傾向として以下を確認しました。
- アプリケーション層への攻撃が165%増加
- テクノロジー業界は、2022年と比べて最も多く攻撃を受けた業界となりました
- 観測されたイベントの総数は9.7%減少
- ピーク帯域幅は2020年比で216%増加
- あらゆる業種で、アプリケーション層DDoS攻撃やマルチベクトルDDoS攻撃の増加が予想されます
さらに、サイバーセキュリティの専門家が注視している3つの成長領域があります。
人工知能と機械学習：製造やカスタマーサービスなど、事業のさまざまな領域でAIやMLを導入する企業が増える中、これらの技術はDDoS攻撃の検知と緩和にも活用できます。最近のある研究では、人工知能を用いた手法でDDoS攻撃を検知した結果、96%を超える精度が得られました。
Internet of Things（IoT）：IoTは拡大していますが、それに伴って増えるコンピューティング領域のセキュリティ確保が不十分だと、これらのソリューションは攻撃を受けやすくなる可能性があります。専門家は、攻撃のリスクにさらされるデバイスを減らすため、より堅牢なセキュリティ対策やパスワード保護を導入し、ファイアウォールまたはVPSを使用することを推奨しています。
ブロックチェーン技術: ブロックチェーンは本質的に分散型であり、セキュリティが確保された分散ストレージを備えているため、ブロックチェーン技術はDDoS攻撃の緩和における注目すべき選択肢です。特に、セキュリティ対策も地理的に狙われる可能性がある地域ベースの攻撃への対応に役立ちます。
DDoS攻撃がなくなることはありませんが、現在、そして今後数年にわたり、こうした攻撃の緩和に役立つツールは増えています。
F5がどのように支援できるか
分散型サービス拒否（DDoS）攻撃は数十年前から存在し、今後もなくなることはありません。そのため、企業は将来を見据えてDDoS攻撃対策ソリューションを検討する必要があります。F5では、ほぼすべての取り組みにおいてサイバーセキュリティを最優先しています。F5のDDoS攻撃対策ソリューションと優れたサポートにより、組織はDDoS攻撃を受ける可能性に伴うリスクを軽減するうえで優位に立つことができます。また、DDoS攻撃対策ソリューションが、企業のニーズと、変化し続けるDDoS攻撃者の脅威に応じて拡張し、適応できることを確認することも重要です。
F5は、お客さまとネットワークに必要となるさまざまな方法で、DDoS攻撃対策を支援します。F5は、組織のニーズに適したDDoS緩和策の導入に関する豊富な経験を有しています。