AWS、Azureの使える機能

AWS、AzureなどのクラウドがDDoS攻撃を受けたら？　ユーザーができる対策はこれ（1/2 ページ）

DDoS攻撃はクラウドセキュリティにおける最大の脅威だ。この攻撃を完全に防ぐことはできないものの、安全を強化するために幾つかの対策を講じることは可能だ。

公開 2016年02月01日 15時01分

更新 2017年05月11日 15時28分

著者

Dave Shackleford

[TechTarget]

印刷する

Azure CDNのイメージ（出典：インフラエンジニア不要論も？　Microsoft Azureのインフラサービスを一挙紹介）《クリックで拡大》

　クラウドに移行する企業は、可能な限り安全で高いセキュリティを備えたアーキテクチャを構築する必要がある。Cloud Security Alliance（CSA）のレポート「The Notorious Nine: Cloud Computing Top Threats in 2013」（悪評高い9項目：2013年のクラウドコンピューティングで多発する脅威）では、企業のクラウド環境に対して発生頻度が特に高い攻撃の1つが分散型サービス拒否攻撃（DDoS攻撃）であることが明らかになっている。

DDoS攻撃対策

DDoS攻撃対策、隣の会社の“とばっちり”を避けるために何ができるか

DDoS攻撃のトレンド

クラウドのCDNサービス

　Amazon Web Services（Amazon）は2015年8月末に公開したブログ記事で、同社の仮想プライベートクラウド（VPC）でセキュリティグループとアクセス制御を使用することで、DDoS攻撃対策を講じたクラウドアーキテクチャを設計するとともに攻撃対象の領域を減らす方法を紹介している。クラウドにDDoS対策を施すという考え方は現実的なのだろうか。このブログ記事では、インフラチームとセキュリティチームが実装して、現在のクラウド環境でDDoS攻撃のリスクを緩和できる重要な概念を説明している。

公開領域を減らす

　DDoS攻撃の脅威を完全に防ぐ術はない実情を理解することが重要だ。DDoS攻撃を効果的に撃退し、クラウドサービスの可用性を維持するには、幾つかの重要な考え方が適用できる。まず、企業は外部に公開している環境の全体的なフットプリントを削減する必要がある。Amazonのクラウドサービス「Amazon Web Services」（AWS）の場合は、通常、VPCでセキュリティグループとプライベートネットワークを設定することで、この目的を達成できる。これを実現し、外部に公開される資産を最小限に抑える方法については、Amazonがブログ記事で分かりやすくまとめている。Microsoftのクラウドサービス「Microsoft Azure」（Azure）では2つの方法がある。1つは、特定の仮想マシンとその関連サービスへのトラフィック方向を定める仮想マシンエンドポイントを作成すること。もう1つは、ネットワークセキュリティグループを作成することだ。

スケーリングと冗長性を確保する

　DDoS攻撃を受けている間も必要に応じてスケーリングや冗長性のためにリソースを使用できるよう、回復性とスケーラビリティは事前に対策を講じておくことが肝心だ。クラウドの使用地域が広範にわたる場合は、この点が特に重要になる。また、クラウドで実行している仮想マシンインスタンスでは、必ずネットワークリソースを使用できるようにしなければならない。

　Amazonは、一定のインスタンスサイズごとに拡張したネットワークを提供している。この仕様によって、システムとの通信時の1秒当たりに送信されるパケットが増えてパフォーマンスが向上する。Amazonは、実行中の全インスタンスでフロントエンドとして機能する「Amazon Elastic Load Balancing」（Amazon ELB）サービスを提供しながら、各企業の負荷分散要件に基づいてシステムのトラフィックを分散している。