進化する「DDoS攻撃」にどう挑むか【第3回】

「クラウド型DDoS攻撃対策サービス」を賢く選ぶ“3つのポイント”とは？（3/3 ページ）

公開 2017年07月18日 05時02分

[アーバーネットワークス]

印刷する連載新着通知を受け取る

オンプレミスでのDDoS攻撃対策

　前述の通り99％のDDoS攻撃の帯域は10Gbps以下であることから、10Gbps以上の帯域を持つインターネット接続回線を利用している企業は、自前による対策が候補の1つとなってくる。オンプレミスによる対策としてよく耳にするセキュリティ製品は、以下のいずれかだろう。

ファイアウォール
- インターネットとLAN間の通信に基本的なアクセスポリシーを適用。LANからインターネットに対するFTP（ポート番号21）接続の禁止など
侵入検知システム（IDS）／侵入防止システム（IPS）
- サーバやクライアントPCの脆弱（ぜいじゃく）性に対する攻撃の検知や防御
Webアプリケーションファイアウォール（WAF）
- HTTP／HTTPSに特化した脆弱性に対する攻撃を低減

　各セキュリティ製品の詳細については割愛するが、いずれもDDoS防御を主目的としたものではなく、構造がDDoS攻撃に対して非常に脆弱だと言わざるを得ない。その原因は、これらのセキュリティ製品が「コネクションテーブル」という内部構造を持つことによる。コネクションテーブルは、IPアドレスとTCP／UDPのポート番号の組み合わせによって管理される「コネクション」（論理的な回線）を管理するテーブルのことを指す。

　DDoS攻撃の中には、多くのセッション（通信の開始から終了までの管理単位）を発生させる攻撃がある。そのような攻撃を受けるとセキュリティ製品は大量のコネクションを確立しなければならず、コネクションテーブルが管理できる範囲を超えてしまう可能性がある。

　場合によってはセキュリティ製品のサーバ内CPUが処理性能の限界に達して、身動きが取れなくなってしまう。連載第2回「『DDoS攻撃＝大規模攻撃』は勘違いだった？　実際の攻撃手法はこれだ」で紹介した「SYNフラッド攻撃」のような状態枯渇攻撃（攻撃対象のシステムリソースを枯渇させる攻撃）を受けた場合、一瞬にしてファイアウォールが動作不能になるケースもある。

　オンプレミスでのDDoS攻撃対策には、専用のセキュリティ製品が必要になることがお分かりいただけたはずだ。設置方法は一般的に、インターネット側からDDoS攻撃対策専用製品、ファイアウォール、IPS、WAFの順番となる。これによりDDoS攻撃を受けても、各セキュリティ製品が、それぞれの役割を十分に発揮することが可能になる。

　次回はDDoS攻撃の最適な防御方法を考える。

佐々木崇（ささき・たかし）アーバーネットワークス日本オフィス　SEマネージャー

1991年にJALインフォテックへ入社し航空機整備システムなどの運用を担当後、ディレク・ティービーでCS放送の立ち上げを経験。2000年からシスコシステムズでプリセールスSE（システムエンジニア）として主にNTT東日本、東京電力を担当。2004年からエラコヤネットワークスで、DPI（Deep Packet Inspection）テクノロジーによるアプリケーション識別のソリューションを提案。2008年より現職。