AWS Shield

　「AWS Shield」は、AWSから提供されているマネージド型DDoS保護サービスだ。AWS Shieldは、「AWS Shield Standard」と「AWS Shield Advanced」の2つのサービスレベルが存在する。

　AWS Shield Standardは、追加料金なしで利用可能な、AWSのインフラの最も一般的なDDoS攻撃対策サービスに位置付けられる。大部分のDDoS攻撃に対してベースラインの防御が提供され、ユーザーが特別な設定を行う必要がない点が特徴だ。主にネットワーク層（レイヤー3）とトランスポート層（レイヤー4）のDDoS攻撃からの保護を基本とする。

　一方でAWS Shield Advancedは、より高度なDDoS攻撃保護を提供する有料サービスだ。アプリケーション層（レイヤー7）のDDoS攻撃に対する自動的な攻撃緩和、「AWS Shield Response Team」（SRT）と呼ばれる専門のDDoSレスポンスチームによるサポート、DDoS攻撃によるトラフィック増加に伴うAWS利用料のコスト保護（特定のサービスにおける費用の上限設定）などの機能を提供する。大規模なアプリケーションやビジネスをAWSで展開している企業の場合に、AWS Shield Advancedの機能が必要とされる可能性が高い。

AWS WAF

　「AWS Web Application Firewall」（AWS WAF）は、Webアプリケーションに対する攻撃全般からリソースを保護するWebアプリケーションファイアウォール（WAF）サービスだ。SQLインジェクションやクロスサイトスクリプティング（XSS）といった脆弱（ぜいじゃく）性を悪用する攻撃だけでなく、DDoS攻撃の中でも特にアプリケーション層のDDoS攻撃に対する効果的な防御手段としても機能する。

　AWS WAFでは、カスタムルールを定義して、IPアドレスやHTTPヘッダ、クエリ文字列などの条件に基づいてトラフィックを許可、ブロック、またはカウントすることができる。これによりDDoS攻撃の特徴的なパターンを検出し、悪意のあるリクエストをバックエンドのWebサーバに到達する前にブロックすることが可能だ。AWS Shield Advancedと組み合わせて利用することで、多層的なDDoS攻撃対策を実現できる。

Microsoft AzureにおけるDDoS攻撃対策サービス

Azure DDoS Protection

　「Azure DDoS Protection」は、仮想ネットワークサービス「Azure Virtual Network」（Azure VNet）上にデプロイされたリソースをDDoS攻撃から保護するためのサービスだ。Azure DDoS Protectionには、IP保護とネットワーク保護の2つのサービスレベルが存在する。

　大規模なDDoS攻撃に対して包括的な保護を提供する点で、2つのサービスレベルに大きな違いはない。ネットワーク層およびトランスポート層でDDoS攻撃を検出し、緩和する能力を持つ。

　ネットワーク保護とIP保護の異なる点として、ネットワーク保護にはDDoS攻撃の際のサポートやコスト保護、WAF割引があるのに対して、IP保護ではこれらのサポートが使用できない点が挙げられる。保護したいIPアドレスが100個に満たず、上記のサポートを必須としない場合、料金の観点でIP保護が勝る可能性があるため、保護の規模に合わせて選択したい。

Azure WAF

　「Azure Web Application Firewall」（Azure WAF）は、Microsoft AzureにおけるWAFサービスだ。SQLインジェクション、クロスサイトスクリプティングなどの一般的なWebの脆弱性を悪用する攻撃からWebアプリケーションを保護する。

　Azure WAFは、コンテンツ配信ネットワーク（CDN）サービス「Azure Front Door」を使用してネットワークエッジで実行されるWAFと、アプリケーションデリバリーコントローラー（ADC）サービス「Azure Application Gateway」を使用してデータセンターで実行されるWAFの2つに分けられる。

　Azure Front Doorに統合されたAzure WAFは、HTTPフラッド（正規のHTTPリクエストを大量に送り付けてWebサーバを過負荷にさせる攻撃）、キャッシュバイパス（CDNなどのキャッシュを意図的に無効化し、サーバへの直接負荷を狙う攻撃）、botネット攻撃（不正に制御された多数の端末を使って同時に攻撃を仕掛ける手法）など多様なWeb攻撃を、ネットワークエッジで展開したWAFによって軽減する機能を持つ。bot保護マネージドルールセット、レート制限（一定時間内に許可するリクエスト数の制限）、IPおよび地理的フィルタリング、カスタムWAFルールなどにより、特定の悪意あるトラフィックパターンをブロックする。また、Azure Front Door自体がネットワーク層およびトランスポート層のDDoS攻撃から保護し、キャッシュ機能で急激なトラフィック増大を吸収することで、バックエンドにあるシステムを保護する。

　Azure Application Gatewayに統合されたAzure WAFは、アプリケーション層のDDoS攻撃を軽減する最新機能を備えている。自動スケールアップにより、攻撃トラフィックを吸収できる。Azure Front Doorと同様に、bot保護、レート制限、IPアドレスおよび地理的フィルタリング、そしてカスタムWAFルールを使用して、悪意あるトラフィックパターンを検出・ブロックすることで、効果的な防御を提供できる。

GCPにおけるDDoS攻撃対策サービス

Google Cloud Armor

　「Google Cloud Armor」は、GCPにおけるDDoS攻撃やその他のインターネット脅威からWebアプリケーションとサービスを保護するアプリケーション保護サービスだ。Googleの広大なグローバルネットワークエッジで動作し、DDoS攻撃による大量のトラフィックがユーザーのバックエンドサービスに到達する前に、エッジでこれをブロックできる。

　Google Cloud Armorの高度なネットワークDDoS対策は、リージョン単位で有効化する必要がある。有効にすると、そのリージョン内で展開している全てのエンドポイントに対して、ネットワーク層からアプリケーション層までのDDoS攻撃対策を施すことができる。カスタムルールを定義して、IPアドレス、地理的位置、HTTPヘッダ、リクエストの頻度などの条件に基づいてトラフィックを許可、ブロック、またはレート制限することが可能だ。これにより、DDoS攻撃の特徴的なパターンを検出し、悪意のあるリクエストを効果的に遮断できる。また、SQLインジェクションやクロスサイトスクリプティングといったWebアプリケーションの脆弱性を悪用する攻撃からも保護する機能も備えている。

クラウド型DDoS攻撃対策製品

　ここからは主要3大クラウドサービスやその他のサービスに限らず、DDoS攻撃対策に用いることができる汎用的な製品を紹介する。

　クラウド型のDDoS攻撃対策サービスは、主にセキュリティベンダーやCDNベンダーが提供しており、導入の容易さや運用の負担軽減が特徴だ。

攻撃遮断くん（サイバーセキュリティクラウド）

　「攻撃遮断くん」は、サイバーセキュリティクラウドが提供するクラウド型WAFだ。WebサイトやWebサーバへのサイバー攻撃を検知・遮断し、DDoS攻撃を含むさまざまな脅威からシステムを保護する。クラウド型であるため、導入が容易で、専用の機器を設置する必要がない。機械学習を活用した高精度な検知能力と、国内でのサポート体制が強みだ。DDoS攻撃の中でも、特にWebアプリケーションへの攻撃に効果を発揮する。

Cloudbric WAF+（ペンタセキュリティ）

　「Cloudbric WAF+」は、Penta Securityが提供するクラウド型Webセキュリティサービスだ。DDoS攻撃対策に加えて、WAF、悪性bot対策、脅威インテリジェンス、SSL証明書管理などの包括的な機能を提供する。独自のAI（人工知能）ベースの検知エンジンにより、未知のDDoS攻撃にも対応できる点が特徴だ。グローバルなエッジネットワークを活用することで、大規模なDDoS攻撃トラフィックを分散・吸収し、バックエンドサーバを保護する。

アプライアンス型DDoS攻撃対策製品

　アプライアンス型のDDoS攻撃対策製品は、オンプレミス環境に設置して利用するもので、ハイブリッド型のネットワーク構成やレガシーとなっているシステムを保護する場合に検討される。

FortiWeb（フォーティネット）

　「FortiWeb」は、Fortinetが提供するWAFアプライアンスだ。Webアプリケーションに対するSQLインジェクション、クロスサイトスクリプティングなどの攻撃だけでなく、DDoS攻撃の中でも特にアプリケーション層（レイヤー7）の攻撃に対して強力な防御機能を提供する。FortiWebは、リアルタイムの脅威インテリジェンスを活用し、既知および未知の攻撃パターンを検出・ブロックする。

　IPレピュテーション（IPアドレスの信頼度を評価する仕組み）、レート制限、bot対策などの機能も備えており、DDoS攻撃の初期段階で悪意のあるトラフィックを識別し、遮断することが可能だ。物理アプライアンス、仮想アプライアンス、クラウド版など多様なデプロイオプションを提供しており、企業の環境に合わせて機器を柔軟に導入できる。

クラウドサービスのDDoS攻撃対策を検討しよう

　DDoS攻撃は、その手口が巧妙化し、規模も年々拡大している。企業にとって常に潜在的な脅威であると言えるだろう。特にクラウドサービスを活用したビジネス展開が加速する中で、クラウドサービスにおけるDDoS攻撃対策は、もはや避けては通れない経営課題だ。

　AWS、Azure、GCPといった主要なクラウドサービスベンダーは、それぞれ独自の強力なDDoS攻撃対策サービスを提供している。それぞれのサービスは、各クラウドサービスの環境に最適化されており、基盤レベルからアプリケーションレベルまで多層的な防御を実現する。それぞれのクラウドサービスの特性を生かし、導入と管理の容易さ、そしてスケーラビリティに優れている点が大きなメリットだ。

　一方で、マルチクラウドやハイブリッドクラウドを運用している企業、あるいはクラウドサービスベンダーの提供する範囲を超える高度な対策を求める企業にとっては、攻撃遮断くんやCloudbric WAF+のようなクラウド型DDoS対策サービス、またはFortiWebのようなアプライアンス型のWAF／DDoS対策製品も有効な選択肢となる。これらは、クラウドサービスベンダーに依存しない一貫したセキュリティポリシーの適用や、特定の要件への対応を可能にする。

　DDoS攻撃対策は、一度導入すれば完結するものではない。攻撃手法は日々進化しており、それに対応するために、導入した対策サービスや製品の継続的な監視、アップデート、そして効果測定が不可欠だ。自社のシステム構成、ビジネス要件、予算、リスク許容度などを総合的に評価し、最適なDDoS攻撃対策を多層的に構築することで、企業のビジネス継続性を盤石なものとすることができるだろう。