DDoS攻撃とは何ですか？

分散型サービス拒否（DDoS）攻撃とは、サーバー、アプリケーション、またはネットワークといった標的に対して、分散した多数の送信元から同時にトラフィックを大量に送りつけ、帯域幅、接続数、または演算リソースを枯渇させ、正当なトラフィックが通過できなくなるようにする攻撃です。送信元は通常、攻撃者の制御下にある乗っ取られたデバイスであるため、単一の送信元からの攻撃に比べて、このトラフィックの洪水を遮断することははるかに困難です。

主なポイント

• DDoS攻撃は、多数の分散した送信元から標的に大量のトラフィックを送り込み、サービスを妨害する。
• 攻撃の手口は、ボリューム型フラッドからアプリケーション層でのリクエストの悪用まで多岐にわたる。
• Versa DoS保護機能では、「Aggregate」および「Classified」プロファイルを使用して、フラッド攻撃をブロックします。
• ddos-threshold アラームは、Analytics、SNMP、および syslog に攻撃を報告します。
• Concertoの脅威検知ダッシュボードは、DDoS攻撃をリアルタイムで追跡します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ DDoS およびVersa · よくある質問

DDoS攻撃はなぜ重要なのでしょうか？

DDoSは、インターネットに接続されたインフラに対する、最も一般的かつ甚大な被害をもたらす攻撃の一つです。 攻撃者は標的の防御を突破する必要はなく、標的、あるいはその手前のリンクやファイアウォールが処理しきれないほどのトラフィックを送信するだけで済みます。その手法には、ポートスキャン、TCPおよびICMPフラッド、ホストスイープ、小規模なパケットのフラッドなどがあり、これらは単一または複数の送信元から分散して行われるため、攻撃が分散化されると、送信元アドレスによるフィルタリングだけでは効果を発揮できなくなります。

企業にとってのコストは「可用性」です。DDoS攻撃が成功すると、対外向けサービス、支店のインターネット回線、あるいはデータセンター全体が攻撃の継続期間中オフラインとなり、ダウンタイムの長期化に伴い、収益、サポート、評判への影響も拡大します。SD-WANを導入した支店では、多くの場合ダイレクトインターネットアクセス（DIA）を利用しているため、保護されていない支店のLANとインターネット回線の両方が、WANの外部から発生するフラッド攻撃にさらされることになります。 リンクが飽和状態になったり、セッションテーブルが枯渇したりする前に、攻撃トラフィックを自動的に検出して遮断することで、攻撃中に支店の実際のトラフィック（音声、アプリケーション、クラウドアクセス）を単に「耐え抜く」だけでなく、正常に利用し続けることが可能になります。

DDoS攻撃とは何ですか？

サービス拒否（DoS）攻撃は、単一の送信元から標的を機能不全に陥らせるものですが、分散型サービス拒否（DDoS）攻撃は、多数の送信元から同時に同じことを行います。多くの場合、数千もの乗っ取られたホスト（ボットネット）が、1人の被害者を標的に攻撃を仕掛けます。この「分散」こそが、DDoS攻撃を阻止することを困難にしている要因です。1つの送信元アドレスをブロックしても、次の1,000の送信元が攻撃を続けさえすれば、何の役にも立たないからです。

攻撃トラフィックにはいくつかの形態があります。ボリューム型フラッド（TCP、UDP、ICMP）は、膨大なパケット量によって利用可能な帯域幅を飽和させます。ポートスキャンやホストスイープは、開放されているサービスや到達可能なアドレスを探り出すもので、多くの場合、より大規模な攻撃に先立つ偵察として行われます。 大容量の小型パケットによるフラッド攻撃は、純粋な帯域幅そのものではなく、ファイアウォール、ルーター、およびセッションテーブルにおけるパケットごとの処理負荷を標的とし、帯域幅自体がボトルネックになっていない場合でも、演算リソースや接続追跡リソースを枯渇させます。いずれの場合も、その目的は同じです。つまり、リンク容量、CPU、セッションスロットといった有限のリソースを、標的が処理できる速度よりも速く消費させ、攻撃トラフィックとともに正当なリクエストも破棄されるようにすることです。

DDoS攻撃の種類

DDoS攻撃は一般的に3つのカテゴリーに分類され、多くの場合、1つの攻撃キャンペーン内で組み合わされます。ボリューム型攻撃（UDPフラッド、ICMPフラッド、および被害者のアドレスを偽装して第三者のサーバーから過剰な応答を引き出すリフレクション／増幅攻撃）は、リンクや回線で利用可能な帯域幅をすべて消費することを目的としています。プロトコル（ステート枯渇）攻撃――SYNフラッド、不正形式パケットフラッド、ポートスキャン――は、帯域幅ではなく、ファイアウォール、ロードバランサー、およびセッションテーブルの接続追跡および処理能力を標的とするため、十分な余裕があるリンクであってもダウンする可能性があります。アプリケーション層攻撃は、正当なトラフィックに見せかけたリクエスト（HTTPフラッド、繰り返されるDNSやTLSハンドシェイクリクエストなど）を、特定のアプリケーションやサービスを枯渇させるよう設計されたレートで送信します。そのため、詳細な検査を行わない限り、本物のトラフィックの急増と見分けることが難しくなります。攻撃者はある層でブロックされると、しばしば別の層へと移行するため、効果的なDDoS防御ではこれら3つの層すべてをカバーする必要があります。

DDoS およびVersa

Versa Secure SD-WANのDoS保護機能は、ステートフルファイアウォール（NGFW）の機能セットの一部であり、対応するサブスクリプションが必要です。この保護機能は、フラッドの閾値を定義するDoSプロファイルと、ゾーン、送信元、宛先、IPヘッダー、またはTCP/UDPサービスに基づいてトラフィックを照合し、「Protect」アクションでプロファイルを適用するDoSポリシールールの2つの構成要素から成り立っています。 プロファイルには2つのタイプがあります。「Aggregate」は、一致するすべてのトラフィックにわたってしきい値を監視し、広範囲の送信元アドレスに分散した攻撃に適しています。「Classified」は、送信元と宛先のIPペアごとにしきい値を追跡し、特定のエンドポイントを標的とした攻撃や、少数の送信元に限定された攻撃に適しています。一般的な導入例としては、支店のLANやダイレクトインターネットアクセス（DIA）回線を、インターネットを起点とするフラッド攻撃から保護することが挙げられます。

デバイスが攻撃をブロックすると、そのセッションにはドロップモジュール「ddos」のタグが付けられ、「Monitor」タブ、CLI、およびVersa Analyticsの「Logs」>「Threat Detection」>「DDoS」および「Dashboard」>「Security」>「Threats」>「DDoS」から確認できます。 Concertoのセキュリティダッシュボードでは、「Internet Protection」>「Threat Detection」>「DDoS」の下で、テナントごとの同様の可視性が提供されます。これとは別に、ddos-thresholdデバイスアラームが「Major」または「Critical」の重大度で発動し（トラフィックがしきい値を下回ると自動的にクリアされます）、デフォルトではAnalytics、SNMP、およびsyslogに送信されます。

よくある質問

DoSとDDoSの違いは何ですか？

DoS攻撃は単一の送信元から発せられるため、その送信元を遮断すれば攻撃を阻止できます。一方、DDoS攻撃は、多くの送信元（多くの場合、乗っ取られたデバイスからなるボットネット）から同時に標的に大量のトラフィックを送り込むため、単一の遮断策では効果がありません。そのため、対策には閾値や挙動に基づく検知が必要となります。

「Aggregate」と「Classified」のDoSプロファイルの違いは何ですか？

「Aggregate」プロファイルは、DoSポリシーに一致するすべてのトラフィックにわたるしきい値を監視するもので、サブネットを標的とし、多数の発信元IPアドレスに分散して行われる攻撃に適しています。「Classified」プロファイルは、発信元と宛先のIPアドレスのペアごとにしきい値を追跡するもので、1つのエンドポイントまたは少数の発信元を標的とする攻撃に適しています。

Versa は、進行中のDDoS攻撃をどのように検知するのですか？

ブロックされた攻撃セッションには「ddos」というドロップモジュールタグが付けられ、「モニター」タブおよびCLIからほぼリアルタイムで確認できます。Versa Analyticsでは、詳細が「ログ」>「脅威検出」>「DDoS」に記録され、AnalyticsとConcertoの「脅威検出」>「DDoS」タブの両方で、上位の攻撃がグラフ化されます。

DDoSアラームは自動的に解除されますか？

はい。ddos-threshold デバイスのアラームは自動解除型です。アグリゲートまたは分類されたトラフィックが設定された閾値を超えた際に発報され、トラフィックがその閾値を下回ると自動的に解除されます。設定変更などのイベントアラームとは異なり、手動での確認は不要です。

DDoS攻撃は完全に防ぐことができるのでしょうか？

必ずしもそうとは限りません。分散型、なりすまし型、あるいはリフレクト型のトラフィックは、ネットワークのエッジに到達する前に常にブロックできるとは限りません。現実的な目標は、攻撃トラフィックを迅速に検出して遮断し、正当なトラフィックの流れを維持するための、閾値ベースのプロファイルやプロトコルに応じたフィルタリングによる緩和策です。

DDoSに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

DDoSについて読んでいるなら、次はこれらもぜひチェックしてみてください。