ネットワークセキュリティ専門家が解説!DoS攻撃・DDoS攻撃の効果的な緩和策と防御方法

DoS攻撃・DDoS攻撃とは何か?

DoS(Denial of Service:サービス拒否)攻撃とは、特定のサーバーやネットワークに大量のトラフィックや不正なデータを送りつけ、システムを停止・低速化させることで、本来の利用者がサービスを利用できない状態に陥れるサイバー攻撃です。サーバーが過剰なトラフィックを受けると処理能力を超えて動作が遅くなり、最終的には完全にダウンしてしまいます。

また、複数の拠点から同時に攻撃を仕掛けるタイプは「DDoS(Distributed DoS)攻撃」と呼ばれ、単一のDoS攻撃よりも防御が難しいことで知られています。

DDoS攻撃はどのように緩和されるのか

DDoS攻撃の緩和(Mitigation)とは、標的となったマシンやネットワークを攻撃から守り、正常なサービスを維持し続けるための一連の取り組みです。攻撃を受けた組織は、専用に設計されたネットワーク機器やクラウドベースのセキュリティサービスを活用することで、 incoming な脅威を効果的に無効化できます。

特にDNSルーティングは常時稼働しているため、攻撃発生時に素早く対応でき、アプリケーション層とネットワーク層の両方の攻撃に対して有効な防御手段となります。

DoS攻撃の緩和に最適なセキュリティ機能

最も効果的なアプローチの一つが「フィルタリング」と「DDS」です。ポイントは、悪意あるリクエストが標的に到達する前に、上流(アップストリーム)の段階でそれらを遮断することです。トラフィックがネットワークに入り込む前にふるいにかけることで、サーバーへの負荷を大幅に軽減できます。

コンピュータネットワークをDoS攻撃から守る基本策

ネットワークを攻撃から保護するために、以下の対策を組み合わせることが推奨されます。

• 十分な帯域幅の確保:急激なトラフィック増加にも耐えられる回線容量を用意する
• インフラの冗長化:単一障害点を作らず、システム全体の耐性を高める
• ネットワーク機器の適切な設定:DDoS攻撃に対抗できるようルーターやスイッチを構成する
• DDoS対策アプライアンスの導入:ハードウェア・ソフトウェア両面で防御モジュールを提供する
• DNSサーバーの保護:DNSは攻撃の標的になりやすいため、特別な防御が必要

企業がDDoS攻撃から自社を守る方法

Webアプリケーションファイアウォール(WAF)は、悪質なトラフィックをブロックすることで、WebサーバーにDDoS攻撃が到達するのを防ぎます。現在市場には多様なWAFソリューションが存在し、中小企業のニーズや予算に合わせてカスタマイズ可能な製品も豊富にラインナップされています。

さらに、すべての組織が実践できる基本的な対策として、複雑なパスワードの使用、数ヶ月ごとのパスワード変更、パスワードの保存や書き留めを避ける習慣なども有効です。

多層防御の重要性

ネットワーク、アプリケーション、インフラストラクチャは、複数のレイヤーで保護すべきです。ファイアウォール、VPN、アンチスパム、コンテンツフィルタリングなどを組み合わせた予防管理システムにより、活動を監視し、DDoS攻撃の兆候となるトラフィックの不整合を早期に特定できます。

ISPとの連携による防御の限界

インターネットサービスプロバイダ(ISP)から「クリーンな帯域幅」を提供してもらうことは、導入としては最も簡単ですが、残念ながら防御効果は限定的です。ISPとの提携は一定の効果を持ちますが、DDoS攻撃からの完全な保護は保証されません。本格的な対策には専用のセキュリティサービスとの併用が不可欠です。

効果的なDDoS緩和策に求められる要素

DDoS攻撃を効果的に緩和するには、次の3つの要素が重要です。

• リアルタイムかつ自動的な更新:新しい攻撃手法が出現した際に即座に対応できること
• 自動スケーリング:小規模な攻撃から大規模な攻撃まで、帯域幅などのリソースを柔軟に拡張できること
• トラフィックの完全な可視性:各リクエストに関連する詳細情報を含め、incoming なトラフィックを細部まで把握できること

DoS攻撃は予防できるのか

完全な予防は困難ですが、セキュリティ体制(セキュリティポスチャ)を強化することで被害リスクを大幅に減らせます。具体的には、インターネットに接続するすべてのデバイスを保護対象とし、ウイルス対策ソフトの導入・更新、DoS攻撃対策として構成されたファイアウォールの設置、定期的な脆弱性診断の実施が挙げられます。

DDoS攻撃に対する主な防御の選択肢

• 帯域幅の増強:攻撃トラフィックを吸収できる余裕を持たせる
• CDNの活用:可能であればマルチCDN構成を採用し、分散的に負荷を処理する
• サーバーレベルでの検知・遮断:サーバー側でも不審な通信を検出してブロックする
• ハイブリッドまたはクラウドソリューションの採用:オンプレミスとクラウドを組み合わせた柔軟な防御体制を築く

DDoS攻撃の危険性を決して過小評価してはいけません。攻撃はあらゆる組織、あらゆる規模のビジネスを標的にしうるため、事前の準備が何より重要です。

導入を検討したいDDoS対策サービス

DDoS攻撃をブロックするために購入できるプロフェッショナルなサービス・製品には、以下のようなものがあります。

• AWS Shield(Amazon Web Services)
• Cloudflare
• Microsoft Azure DDoS Protection
• Neustar(Verisign提供のDDoS保護サービス)
• Akamai Prolexic / Akamai Kona Site Defender
• Sucuri ファイアウォール
• StackPath Web Application Firewall
• Cloudbric
• AppTrana(Indusface)
• SolarWinds Security Event Manager

多くのサービスでは無料トライアルが提供されているため、自社の環境に合ったソリューションを実際に試してから導入を判断するとよいでしょう。

まとめ

DoS攻撃・DDoS攻撃は、正規の利用者がコンピュータ資源やネットワークサービスを利用できないようにする深刻な脅威です。単一の対策に頼るのではなく、帯域幅の確保、WAFやCDNの導入、多層防御、上流でのフィルタリング、信頼性の高い対策サービスの活用など、複数の施策を組み合わせることで、初めて実効性のある防御体制が構築できます。今こそ自社のセキュリティ体制を見直し、攻撃に備えた準備を進めましょう。