DDoS攻撃拡大の理由

　この背景には幾つかの理由が考えられる。主な理由は以下の4つだ。

• インターネット接続デバイスの増加
• 手軽なDDoS攻撃手段の充実
• 「リフレクター攻撃」の増加
• アプリケーション層DDoS攻撃の増加

　それぞれの理由について詳しく見ていこう。

理由1：インターネット接続デバイスの増加

　まず考えられるのは、より多くのコンピュータがインターネットへ接続し、そしてより多くのコンピュータがマルウェアに感染し始めているということだ。

　DDoS攻撃の発生源となるデバイスは、マルウェアに感染したクライアントPCやサーバ、そして昨今ではセンサーデバイスやネットワークカメラをはじめとするモノのインターネット（IoT）デバイスが挙げられる。マルウェアに感染したこれらのデバイスは、コマンド＆コントロール（C＆C）サーバを通じて、実際の黒幕である「ボットハーダー」（ボットネットの指令者）の指令を受け、DDoS攻撃に加担することとなる。

　多くの企業は、エンドポイントやネットワークのセキュリティ対策によりマルウェア感染を防ぐべく努力しているはずだ。だがその効果は100％完全なものにはならない。シグネチャや機械学習などその手段によらず、どのような対策でも抜けや漏れは発生するからだ。

　DDoS攻撃を実行するマルウェアは、攻撃パケットを攻撃先のサーバへ向かって送る動作をするだけだ。そのため感染PCそのものの動作に大きな影響が及ぶことはなく、エンドユーザーが異常に気が付くまでに時間がかかる場合が多い。

　IoTデバイスについては、さらに深刻な状況だ。2016年10月に、DNS（Domain Name System）の動的更新サービス「DynDNS」に対して発生したDDoS攻撃は、「Mirai」というマルウェアに感染した10万台以上のIoTデバイス（主に監視カメラ）が攻撃元になっていたといわれている。

　多くのIoTデバイスは、そのデバイスの設定画面へのログインに用いるIDとパスワードの管理が十分ではないため、第三者にログインされてしまうことがある。これにより容易にマルウェアに感染し、結果としてDDoS攻撃に加担しているとみられている。

　IoTデバイスはOSが特殊だったり、十分なストレージやメモリを備えていなかったりすることが多く、マルウェア対策の導入が難しい。仮に感染してもIoTデバイスとしての動作そのものには影響しないことがほとんどであり、対策がなかなか進まないのが現状だ。

理由2：手軽なDDoS攻撃手段の充実

　次に考えられる理由は、DDoS攻撃を実行できるサービスが誰でも使えるようになったことだ。「Booter」「Stresser」などと呼ばれるこれらのサービスの背後には、前述したMiraiなどの大量のボットで構成するネットワーク「ボットネット」が動作していると考えられる。誰もがWebサイトで支払い手続きをするだけで、何千、何万ものボットを時間貸しで利用できるのだ。知識を持たない一般の人でも、いつでもたやすくDDoS攻撃の実行環境を手に入れることができるようになっている。

　2014年には、高校生がオンラインゲーム事業者のWebサイトにDDoS攻撃を仕掛けた事件があったが、前述のようなDDoS攻撃実行サービスが1つのきっかけになっていると考えられる。以前はボットネットといえば、いわゆるハッカーが技術を競い合って構築してきたものだといわれてきた。だが今では、そのボットネットも飽和状態にあり、ハッカーはこれをビジネスへと転換してきている。

理由3：「リフレクター攻撃」の増加

　管理が行き届いていないDNSサーバやNTP（Network Time Protocol）サーバの存在も、DDoS攻撃拡大の原因の1つとなっている。インターネットにあるこれらのサーバは、しばしばDDoS攻撃の踏み台として活躍する。よく耳にする「DNSリフレクター攻撃」「NTPリフレクター攻撃」といったリフレクター攻撃（アンプ攻撃とも）がこれに値する。ATALS が観測したDDoS攻撃の解析結果からは、2016年には、このリフレクター攻撃が全世界のDDoS攻撃の約25％を占めていたことが確認できている。

　リフレクター攻撃は、DNSサーバやNTPサーバなどインターネットに公開されているサーバ（リフレクター）を悪用して攻撃を仕掛ける。攻撃者はリフレクターに対して、送信元として攻撃対象のIPアドレスを指定した問い合わせパケットを送信。リフレクターからの応答先が攻撃対象となるので、攻撃者は間接的に攻撃を実行できる。

　ネットワーク機器の自動設定に利用されるプロトコルSSDP（Simple Service Discovery Protocol）によるリフレクター攻撃の多くは、一般家庭にもあるブロードバンドルーターが踏み台になっているケースが多い。ファームウェアのバージョンアップといった対策を取る必要がある。さらにCHARGEN（文字列データの自動生成に利用）やSNMP（ネットワーク管理に利用）などのプロトコルによるリフレクター攻撃も確認されており、まだまだ動向に注目する必要があるだろう。

理由4：アプリケーション層DDoS攻撃の増加

　最後の理由は、OSI基本参照モデルにおけるアプリケーション層へのDDoS攻撃の増加だ。DDoS攻撃は前述した大規模攻撃以外に、サーバに対して小規模のトラフィックでインパクトが与えられるアプリケーション層への攻撃が知られている。アーバーネットワークスが2017年1月に発表した「第12版年次ワールドワイド・インフラストラクチャ・セキュリティ・レポート」によると、2016年には回答者の95％がアプリケーション層へのDDoS攻撃を報告している。

　幾つかのDDoS攻撃ツールは、ゆっくりとしたHTTPリクエストの送信を可能にしている。これによりサーバのリソース消費量が通常より高まってスローレスポンス状態になったり、場合によってはダウンしたりすることが考えられる。このような攻撃はBooter／Stresserからも指定でき、ソースコード解析の結果、Miraiでも同様の攻撃が可能だと判明している。

　あなたの会社が運営しているサーバ（ホスティングも含む）は、DDoS攻撃を受けた場合、ベンダーにきちんと防御してもらえることを確認できているであろうか。約款をいま一度ご確認いただきたいが、場合によっては大容量の通信があった場合には接続サービスを一時遮断するなどの記述があるかもしれない。つまり大規模DDoS攻撃を受けた場合は、そのサーバに対する通信が全て止まってしまう、ということだ。これは攻撃者にとってみれば、DDoS攻撃が成功したことを意味するものであり、再び攻撃を受ける可能性が高くなるともいえる。

　インターネットの性質上、他企業が攻撃を受けた場合、同一回線上にある自社がその影響を受ける可能性も否定できない。そのような場合に、ベンダーがどのような対処を施してくれるかについても確認が必要だ。

　DDoS攻撃は、インターネットが自由であることを逆手にとった“負の産物”だといわざるを得ない。現状われわれが利用しているIPv4／IPv6には、多くのセキュリティの弱点がある。にもかかわらず、残念ながらしばらくは利用を続けるしかない状況だ。読者の皆さんには、今DDoS攻撃が来た場合に、自社に対する影響のみならず社会的責務の観点からも、サイバー攻撃に屈しないという心構えで、いま一度リスクの精査をお願いしたい。