DoSとは何ですか？

サービス拒否（DoS）攻撃とは、1つまたは複数の送信元から不要なトラフィックを標的に大量に送りつけ、ハードウェアおよびソフトウェアのリソースを枯渇させて応答不能にすることで、ネットワークサービスを妨害し、正当なユーザーのアクセスを遮断しようとする攻撃である。

主なポイント

• DoS攻撃とは、標的のリソースが枯渇するまで、その標的に大量のトラフィックを送り込む攻撃のことです。
• 攻撃は、帯域幅、接続状態、またはアプリケーションの処理を標的としています。
• DDoS攻撃では、分散した多数の送信元から同時に同じ量のトラフィックが殺到します。
• Versa DoSポリシーは、ゾーン、アドレス、プロトコル、および時間に基づいてトラフィックを照合します。
• プロファイルでは、1秒あたりのパケット数に関するしきい値を設定し、パケットの破棄、アラートの発行、またはレート制限を行うことができます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ DoS およびVersa · よくある質問

DoSが重要なのはなぜですか？

たった1回のDoS攻撃が成功するだけで、顧客向けアプリケーション、VPNゲートウェイ、あるいは支店全体が、トラフィックの洪水が続く限りオフライン状態に陥る可能性があります。そして、ダウンタイムが1分続くごとに、収益の損失、取引の機会損失、サポートチケットの増加に直結します。 DoS攻撃の目的はデータの窃取ではなく、システムの機能停止にあるため、ファイアウォールの突破や認証情報の窃取は必要ありません。標的が処理できる量を超えるトラフィック、セッション、または不正なパケットを送信するだけで十分であり、そのため、アクセス制御がどれほど適切に設定されていても、インターネットに公開されているすべてのサービスがリスクにさらされます。

また、この脅威は、より低コストで、より簡単に仕掛けられるようになってきました。「レンタルボットネット」やリフレクション手法により、攻撃者は単一の送信元が生成できる量をはるかに上回るトラフィック量を発生させることが可能になり、一方、アプリケーション層でのフラッド攻撃では、比較的少数の巧妙に作成されたリクエストでサーバーを機能不全に陥らせることができます。 ネットワークおよびセキュリティチームにとって、DoS対策はオプションの追加機能ではなく、必須の基盤対策です。攻撃トラフィックと正当なトラフィックの急増を区別し、自動的に対応できるインライン型の対策が不可欠です。なぜなら、一度フラッド攻撃が始まってしまえば、人間による対応では遅すぎるからです。

DoSとは何ですか？

あらゆるDoS攻撃の手法は、標的が正当なユーザーへのサービス提供を継続するために必要とするリソースを使い果たすという同じ結果を目的としていますが、その達成方法はそれぞれ異なります。一部のフラッド攻撃は生の帯域幅を標的とし、リンクを飽和させて他の通信が一切通らないようにします。また、デバイスのセッションテーブルやCPUを標的とするものもあります。具体的には、大量のTCPセッションを開いて完了させない、ポートスキャンを行う、サブネット内のホストを一掃する、あるいは本来よりも多くの処理リソースを消費するように設計された不正な形式や過剰なサイズのパケットを送信するといった手法があります。 リソースに制約のあるデバイス（小規模な支店のファイアウォールやIoTゲートウェイなど）は、データセンターのアプライアンスであれば気づかずに吸収できる程度のトラフィック量でもオフラインに追い込まれる可能性があります。そのため、保護対策は、特定のデバイスやリンクが実際に処理できる容量に合わせて規模を設定する必要があります。

進行中の攻撃を検知するには、プロトコルごと、そして多くの場合送信元または宛先アドレスごとに、リアルタイムのトラフィックを想定される基準値と比較する必要があります。そのため、小規模なサーバーにとってはフラッド攻撃のように見えるトラフィックの急増でも、大規模なサーバーにとってはそうは見えない場合があります。レート閾値を超えると、通常は自動的に対応が行われます。具体的には、アラートを発信したり、問題のあるフローのレート制限を行ったり、あるいはパケットを即座に破棄したりします。というのも、担当者に連絡がいく頃には、攻撃を受けているリソースがすでに枯渇している可能性があるからです。

DoS攻撃の種類

DoS攻撃は、一般的に、攻撃の対象となるネットワークスタックのレイヤーによって分類されます。ボリューム型攻撃（トラフィックフラッドや、DNSやNTPなどのプロトコルを悪用して攻撃者のトラフィックを増幅させるリフレクション／増幅手法など）は、利用可能な帯域幅を飽和させ、正当な接続のための容量を完全に奪います。プロトコル攻撃は、ネットワーク層およびトランスポート層のプロトコルが状態を割り当てる仕組みを悪用します。例えば、TCP SYNフラッドは、1つのハンドシェイクも完了させずに大量のハーフオープン接続を開き、標的の接続テーブルを枯渇させます。アプリケーション層の攻撃は、HTTP GETフラッドや意図的に遅くしたリクエストなど、一見正当に見える比較的少量の要求を送信します。これらは送信コストは低いものの、アプリケーションが処理するには負荷が高いため、実際のトラフィックの急増と見分けるのが困難になります。

これらはすべて、単一の送信元（DoS攻撃）から、あるいは多くの分散した送信元（通常はボットネット）から同時に発動される可能性があります。後者の場合、分散型サービス拒否（DDoS）攻撃となります。現在では、攻撃の分散化が一般的となっています。これにより、攻撃の規模が倍増し、フィルタリングすべき単一のアドレスが存在しないため、送信元に基づくブロック対策の有効性は大幅に低下します。

DoS およびVersa

Versa VOSにDoS保護機能を、ポリシーとプロファイルの組み合わせとして直接組み込みます。 DoS保護プロファイルでは、ICMP、ICMPv6、TCP、UDP、SCTP、およびその他のIPトラフィックについて、プロトコルごとのしきい値（アラームレート、アクティブ（応答）レート、最大レート。いずれもパケット/秒単位）を設定し、さらにアクティブレートが超過した際に実行されるアクション（ランダム・アーリー・ドロップまたはTCP SYNクッキー）を指定します。 プロファイルには 2 つの形式があります。集約プロファイルは、一致するすべてのトラフィックに 1 つの共通しきい値を適用するもので、多数の送信元 IP からのサブネット全体にわたるフラッド攻撃に適しています。一方、分類プロファイルは、送信元 IP ごと、宛先 IP ごと、またはその両方のしきい値を追跡するもので、特定のエンドポイントを標的とした攻撃に適しています。 DoSポリシーは、送信元および宛先のゾーン、アドレス、IPヘッダーフィールド、TCP/UDPサービス、および時間帯に基づいて着信トラフィックを照合し、一致したトラフィックに対して「許可（Allow）」、「拒否（Deny）」、または「保護（Protect）」（プロファイルに基づく緩和措置）を適用します。

この設定は、Versa Directorでは「Services」>「Next-Gen Firewall（またはStateful Firewall）」>「DoS」で、Concertoを通じて管理されるクラウドファイアウォール環境では「Security」>「Denial of Service (DoS) Policy」で行います。後者の設定には、セキュアアプリケーション最適化ライセンスまたは高度なセキュリティライセンスが必要です。条件に一致したトラフィックやしきい値の超過はVersa Analyticsに記録され、上位の脅威を詳細に分析するための専用のDoSダッシュボードが用意されています。 詳細な設定リファレンスについては、「DoS 保護の設定」、「DoS 保護の設定（NGFW）」、および「セキュリティの設定」を参照してください。

よくある質問

DoSとDDoSの違いは何ですか？

DoS攻撃は単一の送信元から発せられますが、分散型サービス拒否（DDoS）攻撃は、通常はボットネットなど、多数の送信元から同時に標的に大量のトラフィックを送り込みます。DDoS攻撃は、フィルタリングすべき単一のアドレスが存在しないため防御が難しく、また、単一のマシンによる攻撃よりもはるかに大規模な攻撃量を生み出します。

DoS攻撃とデータ漏洩の違いは何ですか？

DoS攻撃は可用性（サービスをオフラインにさせること）を標的としており、データ機密性や完全性（これらは情報漏洩によって侵害されるもの）を標的とするものではありません。ただし、この2つは互いに排他的というわけではありません。一部の攻撃者は、別の場所で侵入攻撃を実行している間、注意をそらすためにDoSフラッド攻撃を利用することもあります。

ファイアウォールだけでDoS攻撃を防ぐことはできるのでしょうか？

標準的なファイアウォールは、ルール（ポート、アドレス、アプリケーション）に基づいてフィルタリングを行いますが、それ自体ではフラッド攻撃に対するレート制限は行いません。トラフィック量が多すぎると、ルールが適用される前にセッションテーブルが枯渇してしまう可能性があります。専用のDoSプロファイルを使用することで、ファイアウォールだけでは不十分なレートしきい値や分類機能が追加されます。

SYNフラッドとは何ですか？

SYNフラッドとは、プロトコル層におけるDoS攻撃の一種であり、大量のTCP接続を開き、ハンドシェイクを完了させないことで、標的の接続テーブルをハーフオープンセッションで埋め尽くし、正当な接続を受け入れられなくさせるものです。SYNクッキーは、この攻撃に対する標準的な対策です。

DoS対策は、正当なトラフィックに影響を与えますか？

適切に調整されたDoS防御機能であれば、そのようなことは起こらないはずです。なぜなら、プロファイルでは通常のトラフィックパターンを上回る閾値が設定されており、そのレートを超えた場合にのみ動作するからです。リソースを大量に消費するため、ベストプラクティスとしては、デフォルトですべてのシステムに適用するのではなく、重要なシステムや実際に必要なサブネットなど、必要に応じて選択的に有効にするのが望ましいです。

DoSに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

DoSについて読んでいるなら、次はこれらをチェックしてみる価値があります。