- DDoS攻撃は、数百Gbps規模から数Tbps規模のハイパー攻撃へと進化しており、IoTボットネットやUDP増幅技術によって支えられている。
- 専門的な対策には、スクラビングセンター、エニーキャストCDN、ファイアウォール、WAF、そして適切なセキュリティ強化と早期監視の実践が組み合わされます。
- Cloudflareのプログラマブルフロー保護機能を使用すると、C/eBPFのパケットロジックで、アプリケーションレベルで特定のUDPトラフィックをフィルタリングできます。
- 効果的な戦略には、多層防御、自動化、緊急時対応計画、そしてISPやクラウドプロバイダーとの連携が不可欠である。
私たちは、ネットワークが私たちのあらゆる活動の基盤となっている時代に生きています。企業がサービス拒否攻撃によってサービスを停止した場合、ダウンするのはウェブサイトだけではありません。販売、社内プロセス、顧客サービス、そして最も深刻なケースでは基幹サービスまでもが麻痺してしまいます。だからこそ、プログラム可能なフロー保護を備えたカスタマイズされたDDoS対策は、あらゆる最新アーキテクチャの戦略的要素となっているのです。
CloudflareのMagic Transit向けプログラマブルフロー保護などの技術の登場、eBPFとして展開されるカスタムCロジックの使用、AWSやAzureなどのクラウドとの統合、そして専門的な防御サービスによるサポートにより、状況は劇的に変化しました。今では、パケットレベルで「正常」なトラフィックと「悪意のある」トラフィックをモデル化し、オンラインゲームやVoIPなどで使用される特定のUDPプロトコルに合わせた緩和策を策定し、これを各攻撃から学習するビジネスインテリジェンスやAIソリューションと組み合わせることが可能になっています。
DDoS攻撃とは何ですか？また、なぜこれほど深刻な問題になっているのでしょうか？
分散型サービス拒否（DDoS）攻撃は、複数の送信元から同時に大量のトラフィックを送り込むことで、システムのリソース（サーバー、リンク、アプリケーション、中間インフラなど）を過負荷状態に陥れることを目的としています。単一の送信元が攻撃の引き金となる従来のDoS攻撃とは異なり、DDoS攻撃では、ボットネットに組織化された数千、あるいは数百万もの侵害されたデバイスが関与します。
DDoS攻撃の動機は多岐にわたる。経済的脅迫、競合他社への妨害工作、社会運動、ジャーナリストやメディアへの報復、あるいは単に「能力実証」モードにおける新たなボットネットの力試しなどだ。しかし、結果は常に同じである。サービス停止、深刻なパフォーマンス低下、そして経済的・評判上の損害である。
近年、こうした攻撃の頻度と強度は着実に増加している。主要なセキュリティベンダーの報告によると、金融サービス、公益事業、通信などの重要インフラを標的とした、超大容量攻撃（1テラビット/秒、つまり10億パケット/秒以上）が継続的に増加している。
DDoS攻撃の種類：ネットワークからアプリケーションまで
カスタムDDoS対策の仕組みを理解するには、主な攻撃の種類を復習することが役立ちます。一般的に、攻撃はOSIモデルの異なるレイヤーと、攻撃が枯渇させようとする異なるリソースに関連付けられた4つの主要なグループに分類できます。
ネットワーク層（L3/L4）攻撃は、ネットワークおよびトランスポートプロトコル（IP、TCP、UDP、ICMP）を悪用して、サーバーまたは中間インフラストラクチャから限られたリソース（CPU、メモリ、ファイアウォールテーブル、保留中の接続、ネットワークバッファなど）を枯渇させることを目的とします。代表的な例としては、SYNフラッド攻撃（ハンドシェイクが完了しないTCP接続要求をサーバーに大量に送信する）、ランダムなポートへのUDPフラッド攻撃、ICMP攻撃などが挙げられます。
アプリケーション層（L7）攻撃は、 WebアプリケーションやAPI自体のリソースよりも、帯域幅の少ない部分を標的とします。これらの攻撃は、大量のHTTPリクエスト（GET/POST）、内部検索エンジンへの複雑なクエリ、負荷の高いAPIへの呼び出し、あるいは一見正当に見えるものの、バックエンド、データベース、コンテンツ生成システムを限界まで追い込むようなインタラクションを生成します。
ボリューム攻撃：この攻撃の目的は、リンクが使用不能になるまで大量のトラフィックを送り込むことです。大量のトラフィックが送信され、多くの場合、パブリックDNSサーバー（DNS、NTP、Memcached、CLDAP、SNMP、SSDP、Chargen、SLPなど）といった設定ミスのあるUDPサービスに対する増幅および反射技術が悪用されます。これにより、小さなリクエストパケットが、なりすまされた被害者に向けてはるかに大きなレスポンスを生成します。
マルチベクター攻撃は現在最も複雑な攻撃手法です。複数の手法（データ量、プロトコル、アプリケーション）を組み合わせ、防御が成功していることを検知するとリアルタイムで戦略を変更します。単一の攻撃がUDPフラッド攻撃として始まり、SYNフラッド攻撃に移行し、その後レイヤー7 HTTP攻撃へと展開する可能性があり、被害者は包括的かつ連携のとれた防御策を講じることを余儀なくされます。
DDoS攻撃の真の進化：MiraiからTbps級ハイパーアタックへ
理論上は問題ないが、実際の事例では問題の深刻さが明らかになる。過去10年間で、攻撃規模は数百Gbpsから数テラビット/秒（Tbps）をはるかに超える規模にまで拡大し、パケットレートは毎秒数十億に達するようになった。
2016年、大手DNSプロバイダーであるDynに対する攻撃は、約1,2Tbpsのトラフィック量に達し、Twitter、GitHub、PayPal、Netflixなどのサイトを一時的にダウンさせた。この攻撃では、600.000万台以上のIoTデバイス（ルーター、カメラ、DVRなど、デフォルトの認証情報が設定されているもの）を動員したMiraiボットネットが使用され、UDPフラッディングと増幅攻撃を組み合わせた手法を用いて、DynのDNSサーバーに大量のトラフィックを生成したと考えられている。
同年、セキュリティブログのKrebsOnSecurityも、Miraiを利用した約623Gbpsの攻撃を受けた。4日間近くにわたり、大量のUDPパケットが主にランダムなポートに送信され、回線が飽和状態となり、トラフィックはAkamai Prolexicなどの専門的な緩和サービスにリダイレクトされ、シグネチャフィルタリングや動作フィルタリングが適用された。
2018年、GitHubはMemcachedの増幅を利用した1,35Tbps規模の攻撃の標的となった。攻撃者は、偽装したGitHubのIPアドレスを使用して、ポート11211で公開されているMemcachedサーバーに小さなUDPリクエストを送信した。それぞれの小さなリクエストは、GitHubのシステムに向けて50～100倍の大きさのレスポンスをトリガーし、GitHubはトラフィックをクリーンアップセンターにリダイレクトせざるを得なくなった。クリーンアップセンターでは、Memcachedからのレスポンスが特定のパターンに基づいてフィルタリングされた。
2020年、AmazonはAWS ShieldがCLDAPリフレクション（UDP 389）を利用した2,3Tbpsの攻撃を軽減したと報告した。この攻撃手法は、ステートレスLDAPサーバーに大量のクエリを送り込み、被害者に対して大量の応答を生成するというものだった。AWSはトラフィックをグローバルネットワーク全体に分散させ、特定のCLDAPパターンに対するフィルタリングルールを適用した。
近年では、 MikroTikルーターの脆弱性を悪用するMērisのようなボットネットが出現しました。2021年には、1秒あたり2180万件のリクエスト（RPS）がピークに達し、2022年には、Googleのインフラストラクチャに対して4600万RPS、約1,3Tbpsのトラフィック量を記録しました。対策としては、デバイスへの一括パッチ適用、5678番ポートなどの閉鎖、CloudflareやAkamaiなどのネットワークにおけるMērisシグネチャに対する特定のフィルタリングルールの適用などが行われました。
2025年4月、Cloudflareは、毎秒約6,5Tbps、数十億パケットという大規模な攻撃を報告した。同社の分析によると、この攻撃はMērisやAisuruに類似した特徴を持つ、出所不明のボットネットであり、従来の増幅を必要とせず、主にIoTデバイスや設定ミスのあるサーバーからの直接的なUDPフラッド攻撃を利用していた。防御策としては、CloudflareのグローバルなAnycastネットワーク、エッジにおけるXDP/eBPF緩和、動的なスクラビング、IPアドレスごとおよび地域ごとのレート制限が用いられた。
そして2025年5月、KrebsOnSecurityはAisuruボットネットによる約6,3Tbpsの攻撃に耐え、再び注目を集めた。この攻撃では、約40～45秒間、毎秒約5億8500万個のUDPパケットが生成された。サイトを保護していたGoogle Project Shieldは、迷惑UDPに対する積極的なフィルタリングポリシーを即座に有効化し、トラフィックをグローバルネットワーク全体に分散されたクリーンアップセンターに振り分けたため、サービスへの影響はほとんど感じられなかった。
攻撃者のリソースと手法：ボットネット、増幅攻撃、回避
こうした驚異的な数字を達成するために、攻撃者はさまざまなリソースを駆使し、目的に応じてそれらを組み合わせます。その基盤となるのが大規模なボットネットです。これは、既知の脆弱性、デフォルトパスワード、または公開された管理サービスを悪用して構築された、世界中の侵害されたデバイスのネットワークです。Mirai、Mēris、Aisuruは同名のボットネットですが、無数のバリエーションが存在し、それぞれ異なるメーカーやサービスを標的としています。
2つ目の大きな脆弱性は、リフレクターとして機能する設定ミスのあるサーバーです。受信データよりも多くのデータを返す認証されていないUDPサービスはすべて候補となります。例えば、DNS（ポート53）、NTP（123）、Memcached（11211）、CLDAP（389）、SNMP（161）、SSDP、Chargen、SLP、TFTP、Portmap、P2Pサービス、さらにはビデオゲームのプロトコルなどが挙げられます。攻撃者は被害者のIPアドレスを偽装した小さなリクエストを送信し、サーバーはそれを増幅して実際のターゲットにレスポンスを返します。
例えば、DNSでは、オープンなリゾルバへのANYクエリによってリクエストサイズが約28倍になることがあります。NTPでは、従来のMONLISTコマンドで50～500倍の増幅率に達していました。Memcachedは極端な例で、小さなリクエストでも数百キロバイトのデータが返され、数万倍の増幅率に達することがあります。CLDAPは56～70倍の増幅率で動作し、SLPは2000倍を超える値で使用されたこともあります。
さらに、攻撃者は回避技術を洗練させています。IPスプーフィングは、真の発信元を隠蔽し、リフレクションを悪用する古典的な手法です。その他の手法としては、攻撃ベクトルを絶えず変更したり、暗号化されたトラフィックを混在させて防御側の処理負荷を高めたり、「低速でゆっくりとした」手法（明らかなスパイクなしに徐々にリソースを消費する）を使用したり、トラフィックをアプリケーション層に近づけて正当なトラフィックにより近いものにしたりすることが挙げられます。
攻撃前の段階では、masscanやzmapなどの大規模スキャンツールを用いて脆弱なサービスを特定し、IoT機器やサーバー向けに特別に設計されたエクスプロイトキットも使用されます。攻撃中は、hping3、LOIC/HOIC、最適化されたC/Pythonスクリプトなどのトラフィックジェネレーターが使用され、攻撃後の分析には、攻撃者自身がWireshark、tcpdump、監視プラットフォームなどを使用する場合があります。
DDoS攻撃の各段階と適応型防御の必要性
DDoS攻撃は、しばしば無秩序なトラフィックの急増として捉えられがちですが、高度なDDoS攻撃はいくつかの明確な段階を経て行われます。まず、偵察段階があり、攻撃者は公開されている表層を調査し、ドメイン、IPアドレス、公開されているサービス、CDN、または緩和策プロバイダーを特定し、脆弱性を探します。
次に、デバイスの侵害が行われます。これは、ボットネットに情報を供給するコンピュータを感染させることを意味します。ルーター、カメラ、リモート管理システム、サーバーなどの脆弱性を悪用し、多くの場合、古いソフトウェアやデフォルトの認証情報を利用することで感染させます。感染したコンピュータは、コマンドやアップデートを一元管理するC2インフラストラクチャに接続します。
攻撃の実行段階は通常、被害者にとって重要なタイミング、例えばマーケティングキャンペーン、新製品発表会、従業員数が少ない週末、あるいは政治的またはメディア的に敏感な日付に合わせて行われます。その目的は、影響力とプレッシャーを最大化することです。次世代攻撃では、動的な適応要素も加わります。ボットネットは被害者の対応を監視し、効果的な対策を検知した場合は攻撃ベクトルを変更します。
防御面においては、同様に適応性の高い戦略の設計が不可欠となる。静的なファイアウォールや帯域幅のしきい値ではもはや不十分であり、トラフィックの異常をリアルタイムで検知し、イベントを関連付け、新しいルールをその場で展開し、必要に応じてリソース（コンピューティング、ストレージ、ネットワーク容量）を拡張できるシステムが求められる。
最近の研究によると、重要インフラに対するDDoS攻撃は4年間で50%以上増加しており、セキュリティチームがサービス拒否攻撃の「火消し」に注力している間に、ランサムウェアの展開など、他の侵入行為を隠蔽するための煙幕として利用されることが多いことが明らかになった。
従来の対策：スクラビングセンター、CDN、ファイアウォール、WAF
プロフェッショナルなDDoS攻撃対策は、複数の技術とプロバイダーの組み合わせに依存しています。最も特徴的な要素はトラフィックスクラビングセンターです。これは、数十テラビット/秒のトラフィックを処理できる大規模な分散型インフラストラクチャであり、悪意のあるトラフィックをフィルタリングしてから、有効な接続のみをクライアントに返します。
Netscout/Arbor、Akamai/Prolexic、Cloudflare、Radware、Imperva、AWS Shieldといった企業は、複数の拠点を持つグローバルネットワークを管理しています。攻撃が検出されると、被害を受けた組織宛てのトラフィックは（BGPの変更やDNSの更新によって）これらの拠点にリダイレクトされ、そこでシグネチャ、動作、ブラックリスト、統計分析、カスタムルールに基づいてフィルタリングが適用されます。
並行して、多くの組織が自社のデータセンターまたはISPのデータセンターにオンプレミス型のDDoS対策アプライアンスを導入しています。Arbor TMS、Radware DefensePro、FortiDDoS、あるいは特定のF5ソリューションといった機器は、特定の容量制限まで攻撃を検知・軽減する役割を担っています。これらのオンプレミス型アプライアンスと、容量を超える攻撃に対応するクラウドベースのスクラビングソリューションを組み合わせるのが一般的です。
Cloudflare、Akamai、Fastly、Google Cloud CDNなどのCDNおよびAnycastアーキテクチャは、負荷を地理的に分散させることで、防御層をさらに強化します。CDNの背後でサービスを公開することで、トラフィックは複数のノードに分散され、単一のポイントにトラフィックが集中しないため、大量攻撃の影響を軽減できます。さらに、これらのサービスは通常、Webアプリケーションファイアウォール（WAF）とHTTPレベルのレート制限ポリシーを統合しています。
最後に、ネットワークファイアウォール（Cisco、Palo Alto、Linuxのiptablesなど）や専用のWAF（ModSecurity、Cloudflare WAF、AWS WAFなど）を使用すると、IPアドレス、ポート、フラグ、アプリケーションパターンに基づいてトラフィックをフィルタリングできます。これらだけではバックボーンレベルでのTbps攻撃を阻止することはできませんが、既知の攻撃ベクトルをブロックし、疑わしい接続を制限し、スタックのレイヤー6と7を保護するために不可欠です。
Magic Transitによるプログラム可能な流量保護とカスタマイズされた緩和策
攻撃がますます複雑化し、プロトコルもますます特殊化する状況において、 CloudflareのMagic Transit向けプログラマブルフロー保護のようなソリューションが登場し、質的な飛躍を遂げています。これらのソリューションにより、企業は独自の緩和ロジックを作成し、それをグローバルプロバイダーのネットワークに直接展開することが可能になります。
このアイデアはシンプルながら強力です。Magic Transitの顧客は、C言語で記述されたステートフルなパケット処理プログラムをロードできます。Cloudflareはこれらのプログラムを検証、コンパイルし、eBPFに変換して、グローバルインフラストラクチャ内のユーザー空間で実行します。これにより、アプリケーションのUDPトラフィックをプロトコルを意識した方法で検査できます。オンラインゲーム、高頻度取引システム、VoIPサービス、ストリーミングプラットフォームなどに固有のヘッダーを理解し、パケットごとに許可する内容とブロックする内容を判断できます。
このカスタムロジックは、Cloudflareのステートフル緩和プラットフォームであるFlowtrackdと統合されています。この機能は対称型と非対称型の両方のトポロジーをサポートしていますが、クローズドベータ版の段階では、受信トラフィックの分析に重点を置いています。すべての管理はCloudflare APIを通じて行われ、プログラムのアップロード、関連ルールの作成、設定の一覧表示、必要に応じて設定の削除を行うためのエンドポイントが用意されています。
ここで重要なのは、もはや一般的なベンダーの署名やヒューリスティックだけに頼る必要はないということです。例えば、ビデオゲーム会社は、独自のUDPプロトコルの正当な流れ（ハンドシェイク、位置情報メッセージ、キープアライブなど）と、攻撃の特徴となるパターンを明確に定義できます。このロジックはコンパイルされ、Cloudflareのすべての拠点に展開されるため、ネットワークのエッジに近い場所で判断を下すことができます。
カスタムプロトコルを使用する環境や、非常に高いレイテンシを要求するアプリケーションにとって、プログラマブルフロー保護を備えたこのDDoS攻撃対策は画期的なソリューションです。標準的な防御策の上に、ビジネス固有のインテリジェンスという新たなレイヤーを追加するからです。さらに、AWSやAzureといったクラウドサービス、そしてQ2BSTUDIOのようなAIと分析に特化した企業が開発したカスタムソフトウェアソリューションと組み合わせることで、新たな脅威に基づいたルール検出と更新の自動化をさらに強化できます。
インターネットサービスプロバイダ（ISP）や組織が高度なDDoS攻撃対策を必要とする理由
インターネットサービスプロバイダー（ISP）や大企業は、まさに最前線に立たされています。大規模な攻撃は、単一の顧客だけでなく、通信事業者のネットワーク全体を麻痺させ、数千人ものユーザーに影響を与える連鎖的な障害を引き起こす可能性があります。そのため、DDoS攻撃対策は、もはやオプションではなく、必須要件となっています。
ビジネスの観点から見ると、防御策を講じなかった場合の結果は明らかです。サービスの中断、サービスレベル契約（SLA）違反、契約上のペナルティ、直接的な収益損失、そしてより信頼できると認識される競合他社への顧客流出などが挙げられます。ユーザーが必要とする時に重要なアプリケーションが利用できない場合、ユーザーは当然代替手段を探すでしょう。
銀行、保険、公益事業、医療などの分野では、その影響は経済的なものにとどまらず、物理的なプロセスの中断、運用リスク、そして必要不可欠なサービスの停止などにも及ぶ可能性があります。さらに、ソーシャルメディアや報道機関で「システムダウン」が数時間にわたって報じられると、ブランドイメージの失墜という代償を払うのは困難です。
さらに悪いことに、DDoS攻撃はより深刻な攻撃の隠れ蓑として頻繁に利用されます。セキュリティチームがトラフィックの急増への対応に追われている間に、攻撃者はネットワーク内で横方向への移動を試みたり、ランサムウェアを仕掛けたり、データを抜き取ったりする可能性があります。つまり、DDoS攻撃は多段階攻撃における囮や注意をそらすための手段として機能しているのです。
オンプレミスとクラウドの両方における最新の緩和策は、ダウンタイムを大幅に削減し、事業継続性を維持し、ローカル資産とパブリッククラウドのリソースの両方を保護します。その鍵となるのは、トラフィックの急増に対応するために自動的に拡張できる能力と、容量と応答時間に関する明確な保証を提供することです。
具体的な緩和策：レート制限からブラックホール化まで
主要な技術的障壁以外にも、様々な種類の攻撃に対抗するために、日々多くの具体的な手法が適用されています。最も基本的な手法の一つは、ファイアウォールとルーターやスイッチ上のアクセス制御リスト（ACL）を用いた境界フィルタリングであり、送信元IPアドレス、宛先IPアドレス、ポート、TCPフラグ、またはサイズに基づいてパケットをブロックします。
もう一つの定番の要素はレート制限で、レイヤー3/4とHTTPの両方で適用されます。Linuxシステムでは、iptablesにhashlimitやSYNPROXYといったモジュールが用意されており、単一のIPアドレスから1秒あたりに受け入れられる接続数やパケット数を制御できます。アプリケーションレベルでは、NginxやHAProxyといったプロキシが、クライアントごと、あるいはルートごとにリクエスト数を制限することができます。
レイヤー7攻撃に対しては、チャレンジや追加認証を実装することが非常に有効です。CAPTCHA、JavaScriptチャレンジ、および同様のメカニズムにより、実際のブラウザと自動化されたボットをより適切に区別でき、実際のアプリケーションへの負荷を軽減できます。TCPでは、SYN Cookieなどの技術により、サーバーはハンドシェイクが完了するまで接続試行ごとに状態を保存する必要がなくなります。
攻撃の規模が緩和策インフラでも制御不能な場合、BGPブラックホール方式が用いられることがあります。ISPは攻撃対象ネットワークへの経路を「ブラックホール」としてアドバタイズし、そのプレフィックス宛てのトラフィックをバックボーンに入る前にすべて破棄します。この方式はサービスが利用できなくなるため最終手段ですが、攻撃がネットワークの他の部分に影響を与えるのを防ぐことができます。
Cloudflare、Akamai、AWS Shield、Google Project Shield、Radwareなどが提供するクラウドスクラビングサービスを利用すると、すべてのトラフィックをデータセンターにルーティングしてそこでクリーンアップし、Memcached増幅、CLDAP、DNS、NTP、非増幅UDPフラッドなどの攻撃ベクトルに対して特定のルールを適用できます。ブロックされた攻撃ごとに、機械学習モデルとシグネチャデータベースにデータが蓄積され、今後の対策に活用されます。
現在のDDoS攻撃に直面した際の優れた実践例と教訓
近年発生した重大な事件から、いくつかの明確な教訓が得られる。まず第一に、IoTデバイスのセキュリティ対策が極めて重要であるということだ。Mirai、Mēris、Aisuruといったボットネットの攻撃力の多くは、ファームウェアが古く、工場出荷時のデフォルトパスワードが設定されている家庭用ルーター、カメラ、その他のデバイスから生まれている。
2つ目は、ネットワーク内部における増幅経路を排除することです。不要なUDPサービスを無効化し、NTP、DNS、Memcachedなどの送信トラフィックをフィルタリングし、許可された範囲からのクエリのみを許可するファイアウォールルールを適用し、公開されているポートを定期的に確認する必要があります。設定が誤っているサーバーは、攻撃者にとって増幅源となり得ます。
異常の早期発見も不可欠です。NetFlow、sFlow、IDS/IPS（Snort、Suricata）、ログ分析プラットフォーム、SIEMなどのツールは、異常なトラフィックの急増、接続パターンの急激な変化、既知の攻撃シグネチャが現れた際にすぐにアラートを発するように設定する必要があります。対応が早ければ早いほど、攻撃が拡大する時間を短縮できます。
ウェブ環境では、最新のWAF（Webアプリケーションファイアウォール）の使用、ユーザーエクスペリエンスに合致するCAPTCHAの導入、負荷軽減のためのキャッシュやCDNの利用はほぼ必須と言えるでしょう。システムレベルでは、SYN Cookieの有効化、同時接続数の上限調整、不要なサービスの停止などによって、攻撃対象領域を縮小できます。
最後に、すべての組織は文書化されたDDoS攻撃対策計画を持つべきです。明確な手順、指定された担当者、緩和策プロバイダーやISPの技術担当者、そしてスクラビングの有効化、ブラックホール化の要請、コアビジネスを保護するための重要度の低い機能の劣化といった、事前に定義された基準を記載した手順書が必要です。
この傾向は、攻撃の速度、強度、適応性がますます高まっていることを示していると同時に、よりスマートでカスタマイズ可能な防御策の必要性も示唆しています。プログラマブルフロー保護などのソリューションの機能を活用し、継続的なトラフィック監視、最適な構成方法、冗長化されたクラウドアーキテクチャを組み合わせることで、企業はパケットストームの最中でも通常通り業務を継続でき、データだけでなく、企業の評判や顧客からの信頼も守ることができます。
