DDoS 攻撃（DDoS）は、標的のシステム（ネットワーク、サーバー、サービス）を大量のトラフィックで圧倒することを目的とした悪意のある攻撃です。このタイプの攻撃により、正当なユーザーがターゲット (サービスまたはサーバー) を利用できなくなる可能性があります。さまざまなソースからの不正なトラフィックの洪水は、ターゲットシステムを事実上無力化することを目的としています。
DDoS 攻撃の検出と防止を効果的に行うためのツールと戦略を整備することは、オンラインで事業を展開するあらゆる組織にとって重要な検討事項であるべきです。以下では、DDoS 攻撃を防ぐための情報、ベストプラクティス、ヒントを紹介します。
DDoS 攻撃の影響は何ですか？
DDoS 攻撃を防ぐ方法を詳しく見る前に、DDoS 緩和計画を策定していないことの影響を理解しておくことが重要です。DDoS 攻撃の影響は、一時的な停止を超えて広範囲に及びます。これらの攻撃がビジネスにどのような影響を与えるかを以下に示します。影響は次のとおりです。
金銭的損失につながる
ダウンタイムの1分ごとに、サイトで顧客がプロダクトを購入したりサービスにアクセスしたりできなくなることで、収益が失われます。長時間にわたる攻撃や繰り返しの攻撃は、多額のコストを生じさせ、最終的な収益に大きな打撃を与えます。
通常のビジネスオペレーションを妨げる
業務の遅延、注文のキャンセル、プロジェクトの中断により、生産性と満足度が損なわれます。攻撃中に特定のサービスが利用できなくなると、ビジネスの運営が困難になります。
評判の低下につながる
今日の顧客は、一貫性のある信頼できるデジタル体験を企業に求めています。DDoS 攻撃によって Webサイトのダウンタイムが長引くと、こうした顧客から見たブランドイメージが低下します。これにより、顧客がビジネスに対する信頼を失って競合他社に乗り換える可能性があります。
セキュリティリスクの増大
攻撃によって既存のセキュリティが圧倒されると、ハッカーがさらに悪用できる脆弱性が露呈します。これにより、DDoS 攻撃が終了した後でも、データ窃盗やネットワーク侵入のリスクが高まります。攻撃によって明らかになったセキュリティギャップにより、機密性の高い顧客データが盗まれる可能性があり、被害がさらに深刻化します。
運用上の混乱を引き起こす
トラフィックの流入により、チームは運用上およびリソースの帯域幅を費やさざるを得なくなります。その結果、防御側の注意がそれている間に、悪意のある攻撃者が「忍び込む」ことが可能になります。
DDoS 攻撃の防止戦略とベストプラクティス
DDoS 攻撃を防ぐためには、DDoS 対策のベストプラクティスを整備しておくことが重要です。DDoS 攻撃のリスク軽減に役立つ一般的なベストプラクティスをいくつかご紹介します。
兆候を把握する：DDoS 攻撃の上位 4 つの兆候を理解する
主な兆候としては、通常、異常に遅いネットワークパフォーマンス、特定の Webサイトやサービスの利用不能、単一の IP または地域からのランダムなトラフィックの急増、そしてサーバークラッシュやシステムシャットダウンが含まれます。DDoS 攻撃の4つの主要な兆候を迅速に特定できるように、DDoS Protection の戦略とツールを整備する必要があります：
ネットワークパフォーマンスの低下。 社内システムと外部のWebサイトおよびサービスへのアクセスの両方で、突然ネットワーク速度が異常に遅くなった場合、DDoS 攻撃が帯域幅を消費している可能性があります。攻撃は利用可能なインターネット回線を圧倒することを目的としているため、ネットワーク全体でパフォーマンスが低下します。
Web サイトの利用不能。DDoS 攻撃の一般的な目的の1つは、Web サイトを強制的にオフラインにすることです。ビジネスのメインサイトや内部ツールにアクセスできなくなったり、応答が非常に遅くなったりした場合は、攻撃を受けている明らかな兆候です。顧客や従業員がページを読み込めないことも、兆候の1つです。
特定の IP からのトラフィックの増大。ネットワーク監視は、トラフィックのパターンとボリュームを追跡するように設定する必要があります。特定の IP アドレスから発生するトラフィックの増加、特に通常の使用状況と一致しない短時間の急増は、攻撃が進行中であることを示している可能性があります。
原因不明の停止。Webサイトや内部システムに関連する原因不明の頻繁または長時間のダウンタイムも、攻撃が発生していることを示している可能性があります。
多角的なセキュリティアプローチを実装する
DDoS 攻撃の防止には、プロアクティブな対策と反応的な戦略を組み合わせた多面的なアプローチが必要です。DDoS 攻撃を完全に防ぐことは難しいかもしれませんが、組織は堅牢な防御計画を実装することで、その影響を大幅に軽減できます。セキュリティプログラムにおける DDoS 攻撃の緩和に関するベストプラクティスには、次の内容を含める必要があります：
トラフィックパターンを監視します。 最初の防御策は継続的な監視です。Webサイトのトラフィックを24時間365日分析し、異常な急増や変化を通知するツールを導入します。異常を早期に発見することで、チームはボットや潜在的な攻撃が被害を引き起こす前に調査して阻止できます。
Web アプリケーションファイアウォール（WAF）を使用する。 Fastly の Next-Gen WAF は Web サーバーの前に配置され、悪意のあるアクティビティの兆候がないかリクエストをフィルタリングします。これにより、ボットを阻止し、SQL インジェクションやクロスサイトスクリプティングなどの一般的な攻撃を、アプリケーションに到達する前に検出してブロックできます。有害なトラフィックを防ぐことで、Fastly の WAF は事後対応として中断に対処する負担から保護します。
レート制限を実装します。どのようなシステムも無制限のトラフィックを無期限に処理することはできません。アクセスのしきい値を設定するためにエッジレート制限を使用し、異常なトラフィック量を自動的に管理して、通常のユーザーに影響を与えないようにします。これにより、トラフィックが増加している期間中でも、正規の顧客に対してWebサイトの応答性を維持できます。
コンテンツ配信ネットワーク (CDN) を使用します。CDN は、トラフィックの変動や攻撃があっても、Webサイトの可用性とパフォーマンスを維持します。
IP ブラックリストを採用します。 問題を引き起こすことが知られている特定のIP アドレスを禁止することもできます。疑わしいトラフィックパターンに関与しているアドレスを記録し、その後のリクエストを自動的に拒否します。これにより、悪意のある攻撃者はお客様のビジネスのオペレーションを妨害できなくなります。さらに良いのは、これらすべてを自動的に実行してくれるDDoS 攻撃対策ソリューションを導入することです。
定期的なセキュリティ監査を実施してください。 防御対策は定期的に確認してください。脅威が進化するにつれて、対策も進化させる必要があります。セキュリティ監査を定期的に実施することで、ビジネスではツールを最新の状態に保ち、オペレーションを保護するために適切に設定された状態を確保できます。
インシデントレスポンスプランを確立します。 どれほど堅牢な対策を講じていても、すべての攻撃を防止できるわけではありません。問題が発生した場合に備えて詳細な計画を準備しておけば、チームは迅速に対応し、影響を最小限に抑えることができます。実行可能なプロセスを用意しておくことで、障害に効率的に対処し、顧客へのサービスを継続できます。
DDoS 攻撃対策ソリューションを使用します。DDoS 攻撃を防ぐために取れる最善のアプローチは、専用のDDoS Protectionソリューションを実装することです。
どのような DDoS 防止ソリューションがあり、どのように使用すべきですか？
DDoS 攻撃のリスクには、多面的なセキュリティアプローチが必要です。単一のソリューションでそれらを完全に防ぐことはできません。Fastly のような最新のプラットフォームは、さまざまな DDoS 攻撃機能をまとめて提供し、安全を維持できます。DDoS 攻撃に対する最新のアプローチには、次の内容を含める必要があります：
CDN と WAF が、エッジで保護します。
アプリケーションレイヤーで保護するためのレート制限およびボット検知ソリューション。
ネットワークレイヤーにおけるエニーキャストとスクラビング機能。
監視と自動スケーリングにより、攻撃が試みられた場合でもレジリエンスを確保します
より具体的には、DDoS Protection のために考慮すべき保護のカテゴリは次のとおりです。多くの強力なソリューションには、これらの機能のすべてまたは大部分がバンドルされています：
ネットワークレベルの保護 では、大量のトラフィックがサーバーを圧倒する前にそれを阻止します。これは通常、専用の DDoS 攻撃対策ソリューションや、インフラストラクチャの前段に配置されて大規模なトラフィックスパイクを吸収またはフィルタリングするCDN などのサービスによって処理されます。
プロトコルレベルの保護は、SYN フラッドのような攻撃をブロックすることに重点を置いています。これは通常、最新のクラウドプラットフォームまたはハードウェア/ソフトウェアファイアウォールによって自動的に処理されます。
アプリケーション・レベルの保護では、正規のトラフィックを装う不正なユーザーを阻止します。これには、ボットがログインや API にアクセスすることなどが含まれます。Web アプリケーション ファイアウォール（WAF）とボット対策ソリューションを組み合わせることで
s はここで特に効果的です。
トラフィック・スクラビング とは、悪意のあるリクエストが到達する前にそれらを除去する大規模なフィルタリング・ネットワークをトラフィックが通過することを意味します。これはまさに Fastly のようなプロバイダーが行っていることであり、プロバイダーはサーバーの前で盾として機能し、受信トラフィックを「クリーン」にします。
キャッシュと CDN により、ユーザーの近くでコンテンツを配信することで、サーバーが処理しなければならない作業量を減らせます。CDN はコンテンツをキャッシュするため、攻撃者がオリジンサーバーに容易に過負荷をかけることはできません。
冗長性とスケーリングとは、一部のトラフィックが通過した場合でも、システムが停止しにくいようにすることです。これは、ロードバランサー、オートスケーリンググループ、マルチリージョンデプロイによって実現されるため、アプリはクラッシュする代わりに急増に対応できます。
監視と検出 により、攻撃を早期に発見し、迅速に対応できるようになります。専用のセキュリティソリューションは、不審なトラフィックを特定し、問題になる前にフラグを立てるのに役立ちます。
幸いなことに、Fastlyのプラットフォームはこの機能の大部分を提供しており、CDN、WAF、Bot Management、DDoS Protectionをオールインワンで提供します。
Fastly はどのようにして DDoS 攻撃を防ぐのですか？
DDoS 攻撃に対する包括的なセキュリティ対策の維持には、コスト、複雑さ、誤検知、進化する脅威、リソース集約度の面で大きな課題があります。ただし、Fastly のクラウドベースの DDoS Protection ソリューションは、これらの懸念事項をそれぞれ直接解決します。
Fastly の DDoS Protection の主なメリットは次のとおりです。
コスト削減: Fastly は、CDN サービスに含まれる、費用対効果に優れた DDoS Protection を提供します。
柔軟な支払いオプション: ニーズに適したパッケージを選択でき、超過分の保護は無制限です。セキュリティ、CDN、エッジクラウドサービスを単一のベンダーに集約することは、よりコスト効率の高い選択肢を提供します。
複雑さを簡素化 : Fastly のソリューションでは、複雑な設定や手動での調整は不要です。ネットワークはレイヤー3/4攻撃を自動的に吸収し、次世代 WAF がレイヤー7の脅威にシームレスに対処します。
誤検知を削減： Fastly の高度な SmartParse 検出エンジンは、リクエストを正確に分類し、実際のユーザーをブロックする可能性がある誤検知を最小限に抑えます。
継続的な進化： Fastly は確かなインテリジェンスに基づいて検出と緩和を強化し、進化する世界的な攻撃トレンドに先手を打てるようにします。
高いリソース効率：Fastly の大規模なネットワークには、パフォーマンスに影響を与えることなく、異常な規模の攻撃さえ吸収できる容量が組み込まれています。エッジで自動的に攻撃を緩和し、オリジンへの負荷も軽減します。