DoS・DDoS系攻撃

DoS・DDoS攻撃は、帯域、接続状態、CPU、メモリ、アプリケーション処理などの有限資源を消費させ、正規利用者へサービスを提供できない状態にする可用性への攻撃です。DDoSは多数の分散した攻撃元を利用します。

■ 試験で押さえるポイント

• ボリューム型は回線帯域、プロトコル型は接続表やプロトコル処理、アプリケーション層型はHTTP要求などで高価な業務処理を枯渇させます。

• 反射型は標的の送信元IPを偽装して第三者へ要求し、応答を標的へ向けます。増幅型は小さい要求に大きい応答を返すDNS、NTPなどを悪用します。

• DDoSは送信元が分散するため、単一IPの遮断だけでは不十分です。上流事業者、CDN、Anycast、スクラビング、レート制限、キャッシュ、資源分離を組み合わせます。

• 送信元アドレス検証、オープンリゾルバ等の閉鎖は加害基盤を減らします。自組織が反射・増幅へ悪用されない対策も必要です。

• 自動遮断は正規の急増通信を誤遮断し得るため、通常時の基準、段階的制限、連絡・復旧手順とログを準備します。

■ 過去問での着眼点

DRDoSでは標的のIPアドレスを送信元に偽装し、第三者の応答を標的へ反射させます。要求より応答が大きければ増幅も生じます。DDoSは攻撃元が分散し、DoSは必ずしも分散しないという違いを押さえます。

例: 60バイトのDNS要求に3,000バイトの応答が返るなら増幅率は$3,000/60=50$倍です。送信元を標的へ偽装すると応答が標的へ集中します。