DDoS緩和

DDoS緩和とは、ターゲットネットワークと中継ネットワークを保護することで、インターネットに接続されたネットワークに対する分散型サービス拒否（DDoS）攻撃の影響を阻止または緩和するためのネットワーク管理技術および/またはツールのセットです。DDoS攻撃は、サービスパフォーマンスを遅延させたり、 Webサイトを完全にシャットダウンさせたりすることで、企業や組織にとって絶え間ない脅威となっています。 ^[1]

DDoS 緩和は、「トラフィックパターン」を分析してネットワークトラフィックのベースライン条件を特定し、脅威の検出と警告を可能にすることによって機能します。 ^[2] DDoS 緩和では、着信トラフィックを識別して、人間のトラフィックと人間のようなボットや乗っ取られたWeb ブラウザーを区別する必要もあります。このプロセスには、シグネチャの比較と、IP アドレス、Cookie のバリエーション、HTTP ヘッダー、ブラウザーフィンガープリントなどのトラフィックのさまざまな属性の調査が含まれます。

攻撃が検出された後、次のプロセスはフィルタリングです。フィルタリングは、接続追跡、IPレピュテーションリスト、ディープパケットインスペクション、ブラックリスト/ホワイトリスト、レート制限などのDDoS対策技術を通じて行うことができます。^[3]^[4]

1つの手法は、潜在的なターゲットネットワーク宛てのネットワークトラフィックを、「トラフィックスクラビング」フィルターを備えた大容量ネットワークに通過させることです。^[2]

手動によるDDoS緩和は、攻撃の規模が多くの企業/組織で利用可能な人的資源を上回ることが多いため、もはや推奨されていません。^[5]DDoS攻撃を防ぐには、オンプレミスやクラウドベースのソリューションプロバイダーなどの他の方法を実装することもできます。オンプレミスの緩和技術（最も一般的にはハードウェアデバイス）は、多くの場合、ネットワークの前面に配置されます。これにより、利用可能な最大帯域幅がインターネットサービスプロバイダーによって提供されるものに制限されます。^[6]一般的な方法には、オンプレミスのフィルタリングとクラウドベースのソリューションを組み合わせたハイブリッドソリューションが含まれます。^[7]

攻撃方法

DDoS 攻撃は、特定の被害者の Web サイトやネットワークに対して実行されます。多くのベンダーが、主にコンテンツ配信ネットワークに類似した技術に基づいた「DDoS 耐性」ホスティングサービスを提供しています。分散により、単一の輻輳ポイントが回避され、DDoS 攻撃が単一のターゲットに集中するのを防ぎます。

DDoS攻撃の手法の1つは、誤って構成されたサードパーティのネットワークを使用して、偽装された UDPパケットの増幅^{[8]を可能にすることです。BCP}38 ^[9]およびRFC 6959 ^[10]に記載されているように、ネットワーク機器を適切に構成して入力フィルタリングと出力フィルタリングを有効にすると、増幅やスプーフィングが防止され、攻撃者が利用できるリレーネットワークの数を減らすことができます。

緩和方法

参照

参考文献

^ Gaffan, Marc (2012 年 12 月 20 日). 「DDoS 軽減の 5 つの基本事項」. Wired.com . 2014 年3 月 25 日閲覧。
^ ab Paganini, Pierluigi (2013 年 6 月 10 日)。「DDoS 軽減ソリューションの選択...クラウドベースのアプローチ」。Cyber Defense Magazine。2014年3 月 25 日閲覧。
^ Geere, Duncan (2012年4月27日). 「ディープパケットインスペクションの仕組み」Wired.com . 2018年6月12日閲覧。
^ パターソン、ダン（2017年3月9日）。「ディープパケットインスペクション：賢い人のためのガイド」。Techrepublic.com 。2018年6月12日閲覧。
^ Tan, Francis (2011 年 5 月 2 日)。「DDoS 攻撃: 予防と緩和」。The Next Web。2014年3 月 25 日閲覧。
^ Leach, Sean (2013年9月17日). 「DDoS攻撃に対する防御の4つの方法」. Networkworld.com . 2018年6月12日時点のオリジナルよりアーカイブ。2018年6月12日閲覧。
^ Schmitt, Robin (2017 年 9 月 2 日). 「適切な DDoS ソリューションの選択」. Enterpriseinnovation.net . 2018 年 6 月 12 日時点のオリジナルよりアーカイブ。2018年6 月 12 日閲覧。
^ Rossow, Christian. 「増幅型 DDoS」。
^ Senie, Daniel; Ferguson, Paul (2000)。「ネットワークイングレスフィルタリング: IP ソースアドレススプーフィング」。IETF。
^ McPherson, Danny R.; Baker, Fred; Halpern, Joel M. (2013). 「Source Address Validation Improvement (SAVI) Threat Scope」. IETF. doi : 10.17487/RFC6959 . {{cite journal}}:ジャーナルを引用するには|journal=(ヘルプ)が必要です

[1] Gaffan, Marc (2012 年 12 月 20 日). 「DDoS 軽減の 5 つの基本事項」. Wired.com . 2014 年3 月 25 日閲覧。

[CyberDefenseMagApproach-2] Paganini, Pierluigi (2013 年 6 月 10 日)。「DDoS 軽減ソリューションの選択...クラウドベースのアプローチ」。Cyber Defense Magazine。2014年3 月 25 日閲覧。

[3] Geere, Duncan (2012年4月27日). 「ディープパケットインスペクションの仕組み」Wired.com . 2018年6月12日閲覧。

[4] パターソン、ダン（2017年3月9日）。「ディープパケットインスペクション：賢い人のためのガイド」。Techrepublic.com 。2018年6月12日閲覧。

[NextWebDDOS-5] Tan, Francis (2011 年 5 月 2 日)。「DDoS 攻撃: 予防と緩和」。The Next Web。2014年3 月 25 日閲覧。

[6] Leach, Sean (2013年9月17日). 「DDoS攻撃に対する防御の4つの方法」. Networkworld.com . 2018年6月12日時点のオリジナルよりアーカイブ。2018年6月12日閲覧。

[7] Schmitt, Robin (2017 年 9 月 2 日). 「適切な DDoS ソリューションの選択」. Enterpriseinnovation.net . 2018 年 6 月 12 日時点のオリジナルよりアーカイブ。2018年6 月 12 日閲覧。

[8] Rossow, Christian. 「増幅型 DDoS」。

[9] Senie, Daniel; Ferguson, Paul (2000)。「ネットワークイングレスフィルタリング: IP ソースアドレススプーフィング」。IETF。

[10] McPherson, Danny R.; Baker, Fred; Halpern, Joel M. (2013). 「Source Address Validation Improvement (SAVI) Threat Scope」. IETF. doi : 10.17487/RFC6959 . {{cite journal}}:ジャーナルを引用するには|journal=(ヘルプ)が必要です