AWS、Azureの使える機能

AWS、AzureなどのクラウドがDDoS攻撃を受けたら？　ユーザーができる対策はこれ（2/2 ページ）

公開 2016年02月01日 15時01分

更新 2017年05月11日 15時28分

著者

Dave Shackleford

[TechTarget]

印刷する

CDNを利用する

　「Amazon CloudFront」「Azure Content Delivery Network」、Akamai TechnologiesやCloudFlareなどが提供するサードパーティーのサービスをはじめとしたコンテンツデリバリサービス（CDN）を活用すると、トラフィックをプロキシして、“パケットの正規化”を行うことができる。パケットの正規化は、クラウドリソースが重大な影響を受ける前にDDoS攻撃を検出して軽減するのに有効だ。CDNは、必要に応じてコンテンツをキャッシュまたは配信できるネットワークポイントの網を通じてトラフィックを配信する。

　ほとんどのCDNは、特定の国やトラフィック発生地点との間で発生するトラフィックにも制限を設けている。Amazon CloudFrontは、オリジンアクセスアイデンティティーを実装することもできる。オリジンアクセスアイデンティティーでは、同社の「Amazon Simple Storage Service」（Amazon S3）への直接アクセスを許可するのではなく、Amazon CloudFront経由で特定のユーザーのみにアクセスを制限できる。直接アクセスは、DDoS攻撃のターゲットになる可能性がある。DDoS攻撃を受けやすい中間サービスやプラットフォームは、他にも多数存在する。例えば、Imperva、Qualys、Barracudaなどの企業が提供するWebアプリケーションファイアウォールのアプライアンスやサービスなどがある。

DDoS攻撃から守るためのその他の対策

　前述の主要な方法以外にも、企業が自社のインフラを守るために使用できるアプローチがある。Amazonは、DDoS攻撃を仕掛けにくくするために、同社の「Route 53」サービスのようなDNS制御を利用することを推奨している。シャッフルシャーディング、DNS要求の分散、anycastルーティング、エイリアスレコードセット、プライベートDNS（社内使用のみ）エントリといったRoute 53機能を使用すると、より高い柔軟性を確保し、DDoS攻撃を受ける前と受けている間のトラフィック解決を制御できる（エイリアスレコードセットは、CloudFrontノードやELBノードをポイントするように容易に変更できる個別のDNSレコードだ）。

　前述の機能に加え、クラウドプロバイダーは、クラウドの使用状況パターンを入念に追跡および監視して、通常動作に関する適切な基準を作成することを勧めている。このような基準を作成すると、企業は事前に措置や管理を展開して、DDoS攻撃が発生した場合でも効果的に対処することが可能だ。