アプリケーションレイヤー DDoS Protection とは？

アプリケーションレイヤー DDoS Protection は、OSI モデルのレイヤー 7 にある Webサイト、API、その他のアプリケーションサービスを標的とする分散型サービス拒否攻撃（DDoS 攻撃）を検出して軽減するために設計された一連のセキュリティ対策です。

主にネットワーク帯域幅を圧倒しようとする攻撃とは異なり、アプリケーションレイヤー DDoS 攻撃は、アプリケーションが正当なユーザーにサービスを提供するために必要な機能を標的にします。攻撃者は、通常のトラフィックに見える可能性があるリクエストで、ログインページ、検索機能、API、チェックアウトプロセス、またはその他のリソース集約型エンドポイントを大量に送り込むことがあります。

したがって、効果的な保護には、大量の帯域幅を単に吸収するだけでは不十分です。組織は、正当なユーザーと悪意のあるトラフィックを区別し、異常な動作を検出し、不正なリクエストをコントロールし、攻撃によってアプリケーションとオリジンのリソースが枯渇するのを防ぐ必要があります。

アプリケーションレイヤー DDoS 攻撃はどのように機能しますか？

アプリケーションレイヤーのDDoS 攻撃は、アプリケーションレベルのリソースを圧倒してアプリケーションを利用不能にしようとする分散型攻撃です。攻撃者は、大量の生のネットワークトラフィックだけを送信するのではなく、標的のアプリケーションに意味のある処理を実行させるリクエストを生成することもできます。たとえば、Webページへのリクエストの繰り返し、APIのクエリ、検索の開始、ログインの試行、または計算コストの高いオペレーションのトリガーなどがあります。

比較的小さなリクエストでも、下流でかなり多くの処理を引き起こすことがあります。アプリケーションのロジック、データベースクエリ、API コール、またはその他のバックエンドプロセスをトリガーする可能性があります。この非対称性により、アプリケーションレイヤー攻撃は特に大きな混乱を引き起こす可能性があります。

攻撃者は通常、多数の分散したクライアントからリクエストを生成しますが、これにはボットネットを形成する侵害されたデバイスが含まれる場合があります。そのトラフィックは、次のような有限のリソースを消費することを目的として、アプリケーションのエンドポイントに向けられます：

• アプリケーション・サーバーの容量

• データベース接続

• CPU とメモリ

• API容量

• 接続プール

• バックエンド帯域幅

• サードパーティサービス

• オリジン・インフラストラクチャ

簡単な例として HTTP flood があります。攻撃者は、正当なリクエストを効率的に処理できなくなるまで、Webサイトまたは API に大量の HTTP リクエストを送信します。より高度な攻撃では、高コストのエンドポイントが意図的に標的にされる場合があります。たとえば、攻撃者は、軽量な静的ファイルをリクエストするのではなく、複数のデータベース・クエリを必要とする検索オペレーションを繰り返しトリガーする可能性があります。

アプリケーションレイヤー DDoS 攻撃は、ネットワークレイヤー攻撃とどう異なりますか？

主な違いは、攻撃者が枯渇させようとする対象です。ネットワークレイヤーおよびトランスポートレイヤーの攻撃は、一般に帯域幅、プロトコル、接続容量などのインフラストラクチャを標的とします。アプリケーションレイヤー攻撃は、アプリケーション自体と、一見正当なリクエストを処理するために必要なリソースを標的とします。

組織は両方の種類に同時に遭遇する可能性があるため、包括的な DDoS 戦略では複数のレイヤーにわたる攻撃を考慮する必要があります。

アプリケーションレイヤーの DDoS Protection が必要な理由

アプリケーションレイヤー攻撃は、悪意のあるリクエストが正当なものに見える可能性があるため、特有の課題をもたらします。たとえば、「/search」、「/ログイン」、または「/api/プロダクト」へのリクエストは、それ自体が本質的に悪意のあるものではありません。このような数千件のリクエストが実際の顧客アクティビティを表しているのか、それとも組織的な攻撃なのかを判断するには、コンテキストが必要です。

専用のアプリケーションレイヤー DDoS Protection ソリューションと戦略が非常に重要である理由は次のとおりです。 

アプリケーション攻撃は基本的なネットワーク防御を回避する可能性があります。

従来のネットワーク・ファイアウォールでは、明らかに不正なネットワークトラフィックではなく、有効な HTTPS 接続として認識される場合があります。それらの接続が何をしているのかを理解するには、アプリケーションを認識できるコントロールが必要です。

小さなリクエストでも大量のバックエンド・リソースを消費する可能性があります

攻撃者は、処理コストの高いエンドポイントを意図的に標的にする可能性があります。リクエストによって、データベース検索、認証オペレーション、API コール、または計算負荷の高いアプリケーション ロジックがトリガーされる可能性があります。

ボットネットが攻撃トラフィックを分散します

ボットネットは、多数のIP アドレスとデバイスにリクエストを分散させることができます。これにより、単純な IP ブロックや IP ごとのしきい値の効果が低下する可能性があります。

攻撃は収益とカスタマーエクスペリエンスに影響を与える可能性があります。

顧客がチェックアウト・ページ、API、ストリーミング・サービス、SaaS アプリケーション、またはその他の重要なサービスにアクセスできない場合、可用性の問題はすぐにビジネス上の問題になる可能性があります。

攻撃トラフィックによってインフラストラクチャコストが増加する可能性があります。

攻撃によって障害が発生しない場合でも、悪意のあるリクエストの処理により、クラウドコンピューティング、データベースリソース、帯域幅、およびサードパーティ API の処理能力が消費される可能性があります。アプリケーションレイヤーの保護は、高コストなバックエンドリソースを消費する前に、それらのリクエストを停止またはコントロールすることを目的としています。

一般的なアプリケーションレイヤーのDDoS 攻撃の種類にはどのようなものがありますか？

HTTP フラッド

HTTP フラッドは、Webサイトまたはアプリケーションに対して大量の HTTP GET、POST、またはその他のリクエストを生成します。より高度なバージョンでは、トラフィックを正当なアクティビティと区別しにくくするために、URL、ヘッダー、Cookie、リクエストパターン、クライアント特性を変化させることができます。

API フラッド

攻撃者は、大量のリクエストで API エンドポイントを直接標的にすることができます。これは、APIオペレーションによってデータベース・クエリ、計算、またはダウンストリーム・サービスへの呼び出しがトリガーされる場合に、特に大きな損害をもたらす可能性があります。

ログインおよび認証フラッド

認証エンドポイントは、データベースオペレーション、パスワードのハッシュ化、ID プロバイダーの呼び出し、不正チェック、またはその他の処理を伴う場合があるため、高コストになることがあります。攻撃者はこれらの関数を繰り返し呼び出して、リソースを消費する可能性があります。

リソース枯渇攻撃

単にリクエスト量を最大化するのではなく、攻撃者は不釣り合いな処理を必要とするアプリケーション機能を特定できます。検索、レポート作成、データのエクスポート、複雑なフィルタリング、ファイル処理、またはその他の高コストな操作が標的になる可能性があります。

低速・低頻度の攻撃

すべてのアプリケーションレイヤー DDoS 攻撃が、極めて高いリクエスト率に依存しているわけではありません。一部の攻撃は、アプリケーションやサーバーのリソースを意図的にゆっくり消費するため、単純なトラフィック量のしきい値では特定しにくい場合があります。

アプリケーションレイヤー DDoS Protection のベストプラクティスとは？

効果的な保護は多層的です。組織は、アプリケーションアーキテクチャ、トラフィックコントロール、監視、および専門的なセキュリティ技術を組み合わせる必要があります。

1. 通常のトラフィックのベースラインを確立します

通常のリクエスト量と動作を理解することで、異常なアクティビティをより簡単に特定できます。エンドポイント、地域、レスポンス・ステータス、User-Agent、クライアント特性、およびその他の関連するディメンションごとにトラフィックを監視します。

2. オリジンを保護する

攻撃者がエッジセキュリティコントロールを回避して、オリジンを直接攻撃できてはなりません。可能な場合はオリジンへのアクセスを制限し、正当なアプリケーショントラフィックが承認された配信レイヤーとセキュリティレイヤーを通じてバックエンドインフラストラクチャに到達するようにします。

3. 適切なコンテンツをキャッシュする

キャッシュにより、アプリケーションオリジンで実行される処理量を削減できます。CDN がキャッシュからリクエストを配信できる場合、そのリクエストで同じバックエンド処理をトリガーする必要はありません。したがって、キャッシュ効率を高めることで、パフォーマンスとレジリエンスの両方を向上できます。

4. インテリジェントなレート制限を使用する

レート制限により、個々のクライアントまたはクライアントのグループが過剰なリクエストを行うことを防ぐことができます。すべてのエンドポイントに 1 つの共通のしきい値を適用しないようにしてください。ホームページ、ログイン API、検索エンドポイント、および大容量ファイルのダウンロードでは、通常のトラフィック・パターンが大きく異なる場合があります。

5. 高コストなエンドポイントを保護する

どのリクエストが最も多くのバックエンドリソースを消費しているかを特定します。検索、認証、レポート生成、API クエリ、その他の高コストなオペレーションでは、低コストのキャッシュされたリソースよりも厳格なコントロールが必要になる場合があります。

6. Bot Management を使用する

Botnet は、分散アプリケーション攻撃の原因となることがよくあります。Bot Management 管理システムは、行動シグナルとクライアントシグナルを使用して、自動化されたトラフィックと正当なユーザーを区別し、適切なレスポンスを適用できます。

7. Web アプリケーションファイアウォールをデプロイする

WAF は、悪意のあるアプリケーションリクエストを識別してブロックし、DDoS Protection を補完できます。これは、攻撃がリクエストフラッディングとアプリケーションの脆弱性を悪用しようとする試みを組み合わせている場合に、特に有効です。

8. アプリケーション・レジリエンスを構築する

アプリケーションアーキテクチャは依然として重要です。タイムアウト、サーキットブレーカー、キューイング、リソース制限、キャッシュ、データベース保護、適切な機能縮退により、異常なトラフィックがバックエンドシステムに到達した場合の影響を軽減できます。

9. リアルタイムで監視する

アプリケーションレイヤー攻撃は急速に進化する可能性があります。リアルタイムのセキュリティとトラフィックの可視性により、チームは標的となっているエンドポイントを特定し、緩和の動作を理解し、インシデント発生中に保護を調整できます。

どのような種類のアプリケーションレイヤー DDoS Protection を利用できますか？

単一のコントロールであらゆるレイヤー 7 攻撃に対処できるわけではありません。一般的な保護テクノロジーは以下のとおりです：

CDN とエッジキャッシュ

CDN はオリジンを介さずにキャッシュ可能なリクエストを処理できるため、攻撃者が枯渇させられるリソースを減らせます。エッジネットワークは、悪意のあるトラフィックがアプリケーション インフラストラクチャに到達する前に、それを特定して軽減する場所としても機能します。

Web アプリケーションファイアウォール

WAFはHTTPリクエストを検査し、アプリケーションレイヤーの情報に基づいてセキュリティルールを適用します。WAFは主に脆弱性や悪意のあるペイロードからアプリケーションを保護するものとして関連付けられていますが、多層的なDDoS 攻撃対策にも貢献できます。

レート制限

レート制限 は、リクエストを実行できる頻度をコントロールします。ルールは、機密性の高い機能やリソース集約型の機能を保護するために、特定の URL、API、クライアント、またはその他のリクエスト特性に適用できます。

ボット管理

Bot Managementは、正当な人間と承認された自動化を悪意のあるボットから区別しようとします。多くのアプリケーションレイヤー DDoS 攻撃はボットネットから発生するため、攻撃のリクエストがそれ以外では有効に見える場合、ボット検知は特に有用です。

振る舞いおよび異常検知

振る舞いベースの保護は、既知の攻撃シグネチャのみに依存するのではなく、想定されるアプリケーショントラフィックからの逸脱を検出します。これにより、これまで確認されていなかった攻撃や、まとめて調べたときにのみ疑わしいと判断されるトラフィックパターンを特定するのに役立ちます。

クライアントの課題

適切な場合は、不審なクライアントに対して、保護されたリソースへのアクセスを許可する前に、ブラウザまたは計算上のチャレンジを完了するよう求めることができます。チャレンジは、不必要な摩擦が正当なユーザーやアクセシビリティに影響を与える可能性があるため、慎重に適用する必要があります。

ネットワーク DDoS Protection

アプリケーションレイヤーの防御は、ネットワークレイヤーの保護に取って代わるべきではありません。攻撃者はレイヤー 7 の手法をボリューム型攻撃やプロトコル攻撃と組み合わせる可能性があるため、組織はレイヤー 3、4、7 全体での保護を検討する必要があります。

組織はアプリケーションレイヤー DDoS 攻撃をどのように検出できますか？

組織は、既知の DDoS 攻撃の警告サインに注意を払う必要があります。以下はその例です: 

• HTTP または API リクエストの急増

• 特定のエンドポイントへの予期しないトラフィック

• アプリケーションのレイテンシの増加

• 4xx または 5xx エラーの増加

• データベースまたはバックエンドの飽和

• 通常とは異なる地理的なトラフィック

• 大量の新規クライアントまたは IP アドレス

• 異常なリクエストパターン

• キャッシュヒット率の低下

• オリジントラフィックの急増

• 正当なビジネス活動の増加を伴わないインフラストラクチャ使用率の上昇

重要なのはコンテキストです。突然のトラフィック増加は攻撃を示している可能性がありますが、プロダクトの立ち上げの成功や速報ニュースのイベントである可能性もあります。セキュリティコントロールは、正当なトラフィックスパイクと悪意のあるものを、可能な限り正確に区別する必要があります。

Fastly はアプリケーションレイヤーの DDoS Protection に何を提供していますか？

Fastly は、DDoS やその他のレイヤー 7 の脅威からアプリケーションを保護するために、相互補完的な複数のテクノロジーを提供しています。

Fastly DDoS Protection

Fastly DDoS Protection は、悪意のあるトラフィックがアプリケーションインフラストラクチャを圧倒する前に、エッジで攻撃を検出して軽減するように設計されています。Fastly の DDoS 機能はグローバルなエッジネットワーク全体で動作し、保護されたオリジンから離れた場所で攻撃トラフィックを処理できるようにします。

アプリケーションレイヤーの脅威に対しては、このアプローチは特に有効です。悪意のあるリクエストがアプリケーションサーバー、データベース、その他のバックエンドリソースを消費する前に、緩和を実行できるためです。

Fastly Next-Gen WAF

Fastly Next-Gen WAFは、悪意のあるリクエストからアプリケーションとAPIを保護します。SQLインジェクション、クロスサイトスクリプティング、コマンドインジェクション、その他の悪意のあるトラフィックなどのアプリケーション攻撃を特定することで、DDoS Protectionを補完します。

Fastly の Next-Gen WAF は、 SmartParse テクノロジーを使用してリクエストを分析し、従来のルール重視の WAF デプロイで一般的に見られる誤検知の削減を目指しながら、悪意のある意図を特定します。

Fastly Bot Management

Fastly Bot Management は、Webサイトやアプリケーションを標的とする自動化されたトラフィックの特定とコントロールに役立ちます。これはレイヤー 7 DDoS 攻撃において重要です。なぜなら、攻撃者は悪意のあるリクエストを多数のクライアントに分散させるために、ボットネットを頻繁に使用するからです。

Bot Management機能により、組織は自動化されたトラフィックと正当なユーザーを区別し、そのトラフィックの性質に基づいてコントロールを適用できます。

レート制限

Fastly は、組織が機密性の高いエンドポイントを保護し、過剰なリクエスト率をコントロールするために使用できるレート制限機能を提供します。すべてのアプリケーション機能を同一に扱うのではなく、チームは保護する必要があるリソースに基づいてポリシーを設計できます。

CDN キャッシュと Origin Shield

Fastly's CDNは、アプリケーションのレジリエンスにも貢献できます。エッジで適格なレスポンスをキャッシュすることで、アプリケーションのオリジンに到達する必要があるリクエスト数を削減できます。Origin Shieldは追加のキャッシュ・レイヤーを提供し、バックエンド・インフラストラクチャに到達する重複リクエストをさらに削減できます。

これらの機能は DDoS 攻撃の軽減に代わるものではありませんが、オリジンの露出を減らし、トラフィックスパイクに耐えるアプリケーションの能力を向上させることができます。

リアルタイムの可視性

Fastlyは、セキュリティおよびオペレーションのチームがインシデント発生時のトラフィックとアプリケーションの動作を把握するのに役立つリアルタイムのロギングおよびオブザーバビリティ機能を提供します。

高速な可視性は、レイヤー 7 攻撃の際に特に価値があります。これは、チームがどのエンドポイントが標的にされているか、また悪意のあるリクエストが正規のトラフィックとどのように異なるかを判断する必要があるためです。

Fastly はレイヤー 7 DDoS 攻撃からアプリケーションを保護するのにどのように役立ちますか？

アプリケーションレイヤーの DDoS Protection は、複数のコントロールが相互に補完し合う場合に最も効果を発揮します。Fastly は、DDoS Protection、Next-Gen WAF、Bot Management、レート制限、CDN キャッシュ、Origin Shield、リアルタイムの可視性を Edge Cloud Platform 上で統合して提供します。

この多層的なアプローチは、組織が次のことを実現するのに役立ちます：

• エッジで悪意のあるトラフィックを検出して軽減します

• オリジン・インフラストラクチャに到達する攻撃トラフィックを削減します。

• アプリケーションレイヤーの脅威から Webサイトと API を保護

• 悪意のある自動化クライアントを特定してコントロールします

• 機密性の高い、またはコストのかかるエンドポイントにレート制限を適用します

• 正規のトラフィックスパイクをより効果的に吸収します

• キャッシュによってオリジンサーバーへのリクエストを削減

• セキュリティインシデント発生時の可視性を維持する

最も重要なのは、組織がアプリケーションレイヤーのDDoS Protectionを、単に可能な限り最大のトラフィック量を吸収するという問題として扱うべきではないということです。レイヤー7攻撃は、アプリケーションの動作とリソースを標的とします。したがって、効果的な保護では、正当なユーザーへのサービス提供を継続しながら悪意のあるアクティビティを特定できるように、アプリケーションのトラフィックを十分に理解する必要があります。

エッジベースの DDoS 攻撃の軽減を、アプリケーションを認識するセキュリティ、Bot Management、キャッシュ、リアルタイムの可視性と組み合わせることで、最新の Web アプリケーションや API を利用不能にすることを目的とした攻撃に対して、より強力な防御を提供できます。