DDoS 攻撃を阻止する方法

はじめに :

分散型サービス拒否攻撃（DDoS 攻撃）を防止することは、特に分散ネットワークアーキテクチャ全体やトラフィックが多い期間には困難な場合があります。解決策は、DDoS Protection サービスを実装することです。 

攻撃が検出されると、緩和策が即座に開始されます。正規のトラフィックはインテリジェントなフィルタリングによって通過が許可される一方、悪意のあるトラフィックは発生元でブロックされます。インフラストラクチャの前段に常時稼働のセキュリティレイヤーを配置することで、ボットを阻止しながら、顧客へのサービス提供を中断することなく継続できます。

DDoS Protection の仕組みと、安全を維持するために事前に講じられる対策については、以下をご覧ください。

DDoS 攻撃トラフィックの一般的なタイプ

DDoS 攻撃にはさまざまな形態があり、それぞれがネットワークインフラストラクチャとサービスにおける異なる脆弱性を悪用するように設計されています。これらの攻撃タイプを理解することは、効果的な防御戦略を策定するうえで重要です。最も一般的な例を見ていきましょう。 

1. ボリューム型攻撃

この方法は、ネットワークの帯域幅リソースを消費して障害を引き起こすことを目的としています。攻撃者は、大量の不要なトラフィックを生成してリンクを溢れさせ、帯域幅の容量を枯渇させます。この手法の代表的な例としては、ターゲットシステムに UDP パケットを大量に浴びせる UDP フラッド、ICMP ping リクエストを使用して同様のことを実行する ICMP フラッドがあります。 

2. プロトコル攻撃

プロトコル攻撃は、大量のトラフィックのみに頼るのではなく、特定のネットワークプロトコルの脆弱性を悪用しようとします。例としては、攻撃者が複数の SYN リクエストを送信して接続を開き、ハンドシェイクプロセスを完了しない SYN フラッドがあります。これにより、半開状態の接続が積み重なり、利用可能なリソースが消費されます。もう1つの例としては、断片化された ICMP パケットや過大な ICMP パケットを送信してシステムをクラッシュさせる Ping of Death 攻撃があります。

3. アプリケーションレイヤー攻撃

アプリケーションレイヤーでは、攻撃は特定のサービスやソフトウェアの脆弱性を標的にします。例としては、HTTP フラッド攻撃と Slowloris 攻撃があります。HTTP フラッド攻撃は、特定のポートまたは URL に大量のリクエストを浴びせます。Slowloris 攻撃は、多数の接続を開いてできるだけ長く開いたままにし、最小限のデータしか送信しないことでリソースを占有します。

DDoS 攻撃がビジネスの脅威となる理由

DDoS 攻撃の影響は、単なる一時的な停止をはるかに超えます。これらの攻撃がビジネスにどのような影響を与えるかをご紹介します。以下のような影響があります。

• 金銭的損失につながる：ダウンタイムが1分発生するごとに、顧客がサイトでプロダクトを購入したりサービスにアクセスしたりできなくなるため、収益が失われます。長時間にわたる攻撃や繰り返しの攻撃は、多額のコストを生じさせ、最終的な収益に大きな打撃を与えます。

• 通常の業務運営を妨げる: 業務の遅延、注文のキャンセル、プロジェクトの中断により、生産性と満足度が損なわれます。攻撃中に特定のサービスが利用できなくなると、ビジネスの運営が困難になります。

• 評判の低下を招く：今日の顧客は、一貫性のある信頼できるデジタル体験を企業に求めています。DDoS 攻撃によって Webサイトのダウンタイムが長引くと、こうした顧客から見たブランドイメージが低下します。これにより、顧客がビジネスに対する信頼を失って競合他社に乗り換える可能性があります。 

• セキュリティリスクの増大: 攻撃によって既存のセキュリティが圧倒されると、ハッカーがさらに悪用できる脆弱性が露呈します。これにより、DDoS 攻撃が終了した後でも、データ窃盗やネットワーク侵入のリスクが高まります。攻撃によって明らかになったセキュリティギャップにより、機密性の高い顧客データが盗まれる可能性があり、被害がさらに深刻化します。

DDoS 攻撃の主な4つの兆候とは？

DDoS 攻撃の主な4つの兆候には、異常に遅いネットワークパフォーマンス、特定の Webサイトやサービスの利用不能、単一の IP または地域からのランダムなトラフィックの急増、およびサーバークラッシュやシステムシャットダウンがあります。DDoS 攻撃を簡単に見分ける方法を、さらに詳しく見ていきましょう。 

1. 遅いネットワークパフォーマンス

社内システムと外部のWebサイトやサービスへのアクセスの両方で、突然ネットワーク速度が異常に遅くなった場合、DDoS 攻撃によって帯域幅が飽和している可能性があります。攻撃は、利用可能なインターネット回線を圧倒することを目的としているため、ネットワーク全体でパフォーマンスが低下します。

2. Webサイトの利用不能

DDoS 攻撃の一般的な目的の1つは、Webサイトをオフラインに追い込むことです。ビジネスのメインサイトや内部ツールにアクセスできなくなったり、応答が非常に遅くなったりした場合は、攻撃を受けている明らかな兆候です。顧客や従業員がページを読み込めなくなることは、典型的な兆候です。

3. 特定の IP からのトラフィックの増大

ネットワーク監視は、トラフィックのパターンとボリュームを追跡するように設定する必要があります。特定の IP アドレスから発生するトラフィックの増加、特に通常の使用状況と一致しない短時間の急増は、攻撃が進行中であることを示している可能性があります。 

4. 原因不明の停止

オンラインプレゼンスや内部システムに関連する原因不明のダウンタイムが頻繁に発生する場合や長引く場合は、高度な攻撃者が防御を圧倒していることを示している可能性もあります。

DDoS 攻撃を阻止する方法

DDoS攻撃に対する防御には、プロアクティブな対策とリアクティブな戦略を組み合わせた多面的なアプローチが必要です。DDoS 攻撃を完全に防ぐことは困難かもしれませんが、組織は強固な防御計画を実装することにより、その影響を大幅に軽減できます。DDoS 攻撃の潜在的な脅威に備え、デジタル資産を保護してビジネスの継続性を維持するための主な手順とベストプラクティスについて説明します。

• トラフィックパターンの監視

最初の防御策は継続的な監視です。Webサイトのトラフィックを24時間365日分析し、異常な急増や変化を警告するツールをインストールしてください。異常を早期に発見することにより、チームは深刻な過負荷が発生する前に調査して、ボットや潜在的な攻撃を阻止できます。

• Web アプリケーションファイアウォール（WAF）を使用する

Fastly のNext-Gen WAF はWeb サーバーの前に配置され、悪意のあるアクティビティの兆候がないかリクエストをフィルタリングします。これにより、ボットを停止し、SQL インジェクションやクロスサイトスクリプティングなどの一般的な悪用がアプリケーションに到達する前に検出してブロックできます。有害なトラフィックを防ぐことで、Fastly の WAF は、事後に中断への対応に追われることから保護します。

• レート制限の実装

どのようなシステムも、無制限のトラフィックを無期限に処理することはできません。アクセスのしきい値を設定し、エッジレート制限を使用して、通常のユーザーに影響を与えることなく異常なトラフィック量を自動的に管理します。これにより、トラフィック負荷が上昇した場合にも、正規顧客に対するデジタルプレゼンスの応答性を維持できます。

• コンテンツ配信ネットワーク（CDN）を使用する

CDN を使用することで、Webサイトのデジタル資産が世界中の複数のサーバーロケーションから配信可能になります。この分散型アーキテクチャにより、ある地域でトラフィックが増加した場合でも、近隣の他の地域が追加の負荷を処理できるため、顧客へのサービスを継続できます。

• IP ブラックリストを採用する

過去に問題を引き起こしたことが知られている特定のIP アドレスを禁止することもできます。疑わしいトラフィックパターンに関与しているアドレスを記録し、それらの今後のリクエストを自動的に拒否します。これにより、悪意のある攻撃者がビジネスのオペレーションを妨害できなくなります。

• 定期的なセキュリティ監査の実施

防御対策は定期的に確認してください。脅威が進化するにつれて、対策も進化させる必要があります。セキュリティ監査を予定することで、ビジネスではツールを常に最新の状態に保ち、オペレーションを保護するために適切に設定された状態を確保できます。

• インシデントレスポンスプランの確立

どれほど堅牢な対策でも、すべての攻撃を防げるとは限りません。問題が発生した場合に備えて詳細な計画を準備しておけば、チームは迅速に対応し、影響を最小限に抑えることができます。実行可能なプロセスを用意しておくことで、障害に効率的に対処し、顧客へのサービス提供を継続できます。

統合された DDoS Protection の詳細については、セキュリティチームが Fastly の Next-Gen WAF に移行している理由に関する資料をご覧ください。

DDoS 攻撃に対抗する際の課題とは？

DDoS 攻撃は、オンラインビジネスや組織にとって重大な脅威であり、サービスの中断、財務的な損失、評判の低下を引き起こす可能性があります。これらの攻撃に対抗するためのさまざまな DDoS Protection サービスが利用可能ですが、効果的な保護を実装して維持するには、それ自体に課題が伴います。DDoS 攻撃への防御において、企業が直面する主な障害を見ていきましょう。

• コストへの影響

DDoS 攻撃の数は、年々増加の一途をたどっています。効果的なソリューションには、大量の不要なトラフィックをフィルタリングしながら、正規ユーザーを遅延なく通過させる能力が必要です。このレベルのパフォーマンスとスケーラビリティは、追加コストなしでは実現されません。脅威の進化に合わせて拡張できるサービスを入手するために、予算を適切に編成する必要があります。

• 実装の複雑さ

もう1つの課題は、対策ソリューションのデプロイと管理における技術的な難しさです。通常の Webサイト機能を中断させることなく、攻撃を検出してトラフィックをフィルターに誘導するには、適切な設定が必要です。信頼性の高い保護を確保するには、継続的なメンテナンスも重要です。このレベルの統合には、多くの場合、相当な時間とリソースを割く必要があります。一部の企業では、習得の難しさが課題となる場合があります。

• 誤検知

すべてのフィルタリングアルゴリズムが完璧というわけではないため、一部の顧客では遅延やエラーが発生する可能性があります。プロバイダーは、ユーザーエクスペリエンスを維持しながら攻撃を抑止するために、そのような誤検知を最小限に抑えるための慎重な調整を行う必要があります。

• 進化する脅威

攻撃戦略が撃退されるたびに、別の攻撃戦略が生まれます。DDoS 攻撃に対する防御策は、新しい戦術に適応しなければ、陳腐化する恐れがあります。プロバイダーは、進化するリスクに先んじることに重点を置いた専任の研究チームを維持する必要があります。そのような俊敏なセキュリティがなければ、今日の最善の保護でさえ明日には脆弱になります。

• リソース集約度

DDoS 攻撃はあらゆる規模で発生しますが、大規模な攻撃に対抗するには、大量の不要なトラフィックを吸収できる大規模なインフラストラクチャが必要です。必要となるリソースとネットワーク容量は膨大になる場合があります。個々の企業がそのような機能を待機状態で自ら維持することは現実的ではありません。経験豊富な緩和プロバイダーは、特定の顧客に対して必要なときにリソースを拡張できるため、そのようなプロバイダーにアウトソーシングすることが重要です。

Fastly が DDoS 攻撃防止の最善策である理由

DDoS 攻撃に対する包括的なセキュリティ対策の維持には、コスト、複雑さ、誤検知、進化する脅威、リソース集約度の面で大きな課題があります。ただし、Fastly のクラウドベースの DDoS Protection ソリューションは、これらの懸念事項をそれぞれ直接解決します。

Fastly の DDoS Protection の主なメリットは次のとおりです。

• コスト削減： Fastly は、CDN サービスに含まれる費用対効果に優れた DDoS Protection を提供します。柔軟な支払いオプションにより、ニーズに適したパッケージを選択でき、超過分も無制限に保護されます。セキュリティ、CDN、エッジクラウドサービスを単一のベンダーに集約することは、よりコスト効率の高い選択肢を提供します。

• 複雑さを簡素化 : Fastly のソリューションでは、複雑な設定や手動での調整は不要です。ネットワークはレイヤー3/4攻撃を自動的に吸収し、次世代 WAF がレイヤー7の脅威にシームレスに対処します。

• 誤検知を削減 : Fastly の高度な SmartParse 検出エンジンがリクエストを正確に分類し、正規ユーザーをブロックする可能性がある誤検知を最小限に抑えます。

• 継続的に進化：Fastly は確かなインテリジェンスに基づいて検出と緩和を強化し、最近の Reset 攻撃などの進化する世界的な攻撃トレンドに先手を打てるようにします。

• 高いリソース効率 : 336 Tbps の容量を誇る Fastly の大規模なネットワークは、パフォーマンスを低下させることなく、極度にスケールの大きい攻撃さえも吸収できる能力を備えています。エッジで自動的に攻撃を緩和し、オリジンへの負荷も軽減します。

無料トライアルにサインアップして、Fastly がどのように安心をもたらし、悪質なアクターによるデジタルプレゼンスへの妨害を防ぐかについて詳しくご確認ください。