進化する「DDoS攻撃」にどう挑むか【第2回】

「DDoS攻撃＝大規模攻撃」は勘違いだった？　実際の攻撃手法はこれだ（2/2 ページ）

公開 2017年04月20日 09時01分

更新 2017年06月19日 14時15分

著者

佐々木崇

[アーバーネットワークス]

印刷する連載新着通知を受け取る

対策はトラフィック監視が重要に

　前述の通り、パケット一つ一つを精査してもDDoS攻撃であることを判断することは難しい。多くのセキュリティ製品は、不正パケットに存在する特徴に注目することで制限や制御を掛ける。こうした手法でDDoS攻撃に対処するのは難しい。重要になるのは、トラフィックの可視化だ。

　ボリューム型攻撃を受けると、平常時には起こらないような大量のトラフィックが発生するため、比較的容易に発見できる。ただし平常時のトラフィックを普段から把握しておくことはもちろん、サーバ別やプロトコル別のトラフィックもモニタリングしておくことが求められる。これにより攻撃されているサーバを突き止めたり、攻撃の特徴を理解したりすることが可能となる。

　無償提供されている「MRTG」（Multi Router Traffic Grapher）など、ネットワークモニタリングプロトコル「SNMP」を利用したネットワークインタフェースごとのトラフィック監視ツールでは、十分な情報をつかむことが難しい。費用対効果の高い手法として「NetFlow」「sFlow」など、ネットワークインタフェースによらず、ネットワーク全体のトラフィックを横断的に可視化できる技術の使用をお勧めする。

　大事な点は「大量」の定義だ。その考え方は環境によって異なる。例えば通常10Mbpsのトラフィックしかないところに100Mbpsの通信が発生すれば「大量」と言ってよいだろう。だが通常1Gbpsのトラフィックがあるところであれば、100Mbps増えても大量とは認識しないはずだ。よって「大量」かどうかを判断するためには、実環境を把握した上で、ポリシーとしての「大量」を定義することが重要となる。

　一方のアプリケーション層攻撃を受けた場合も、通常時よりサーバが過負荷状態となる。だが攻撃なのか、それとも何らかの要因でアクセスが集中しているのかを見極めることは困難だ。従って、あらゆる角度からサーバ向けの通信をモニタリングする必要がある。例えば秒間当たりの1ユーザーからのGETの平均要求回数は、重要な指標となる。このような方法によってDDoS攻撃のパケットをあぶり出し、対策を施すことが可能となる。

　DDoS攻撃対策を進める上で、トラフィック監視がいかに重要かをご理解いただけたはずだ。昨今話題となったIoTデバイス（ネットワーク接続型デバイス）に感染するマルウェア「Mirai」は、遠隔操作プロトコルのTelnetを使ってログインを試みる。きちんと監視をしていれば、そのようなサーチトラフィックも浮き彫りとなり、今後起こり得る事態に備えることも可能となる。

　ネットワーク全体の可視化は、ネットワークセキュリティ対策を進める上での原点ともいえる作業であり、今すぐにでも取り組む価値がある。十分な可視化を進め、今後のさまざまな脅威からシステムやネットワークを守ることに役立てていただきたい。

佐々木崇（ささき・たかし）アーバーネットワークス日本オフィス　SEマネージャー

1991年にJALインフォテックへ入社し航空機整備システムなどの運用を担当後、ディレク・ティービーでCS放送の立ち上げを経験。2000年からシスコシステムズでプリセールスSE（システムエンジニア）として主にNTT東日本、東京電力を担当。2004年からエラコヤネットワークスで、DPI（Deep Packet Inspection）テクノロジーによるアプリケーション識別のソリューションを提案。2008年より現職。