ネットワーク脅威と多層防御（DDoS・WAF・IPS/IDS）完全攻略｜境界防御徹底解説
ネットワークインフラや公開Webサイトを標的としたサイバー攻撃において、午前・午後ともに最頻出となるのが「DDoS攻撃（分散型サービス不能攻撃）」と「境界防御装置（FW / WAF / IPS / IDS）」の役割分担です。
SYN Flood攻撃やDNSアンプ攻撃などの攻撃手法の原理と、OSI参照モデルのどの階層でどの機器が防御を担当するのかを完璧に整理しましょう。
1. 代表的なDoS / DDoS攻撃の手口と原理
攻撃手法 | 攻撃の原理・メカニズム | 対策手法・IPA試験での論点 |
|---|---|---|
SYN Flood 攻撃 (TCPコネクション枯渇) | 送信元IPを偽装したTCP SYNパケットを大量に送りつけ、サーバがSYN/ACKを返した後のACKを返さず、ハーフオープン接続状態を保持させて接続テーブルを枯渇させる。 | 【対策】SYN Cookies（ACKが返るまで接続状態をメモリに確保しない技術）の有効化、ファイアウォールでの接続制限。 |
DNS / NTP アンプ攻撃 (DRDoS：反射増幅型攻撃) | 送信元IPをターゲットのIPに偽装し、外部のオープンリゾルバ（DNS）やNTPサーバへ小さなリクエスト（ANY問合せやmonlist）を送信。サーバから数倍〜数十倍に膨れ上がった応答パケットが一斉にターゲットへ集中する。 | 【対策】オープンリゾルバの是正、ISPによる送信元IP偽装防止（Ingress Filtering / BCP 38）、CDNやDDoS対策サービスの利用。 |
Slow HTTP DoS 攻撃 (Slowloris / Slow Read) | HTTPリクエストヘッダやボディを極めて低速（数秒に1バイト等）で送り続け、Webサーバの同時接続スレッド・プロセスを長時間占有して枯渇させる。 | 【対策】HTTPヘッダ受信タイムアウトの短縮、同時接続数制限、リバースプロキシの導入。 |
2. 境界防御装置の階層別役割分担（FW vs IDS/IPS vs WAF）
IPA試験では、「どのレイヤーの脅威をどの機器が防ぐのか」という境界防御の棲み分けが頻繁に問われます。
防御装置 | 対象レイヤー | 主な検査内容 | 防げる脅威と限界 |
|---|---|---|---|
ファイアウォール (FW) | L3（ネットワーク） L4（トランスポート） | 送信元/宛先IPアドレス、ポート番号、TCPフラグ（ステートフルインスペクション） | 【防御】不正ポートへのアクセス遮断 【限界】80/443ポート内のWeb攻撃は検知できない |
IDS / IPS | L4〜L7（アプリ層） | パケットのペイロード（データ部）をシグネチャと照合し、既知のOS/ミドルウェア脆弱性攻撃やワームを検知（IDS）・遮断（IPS） | 【防御】OSやネットワークサービスの脆弱性攻撃 【限界】暗号化HTTPS通信の内部や複雑なWeb入力攻撃の完全解釈は困難 |
WAF (Web Application Firewall) | L7（アプリケーション層） | HTTP/HTTPSリクエスト・レスポンスの内容（URL、パラメータ、Cookie、HTML）を深く解析 | 【防御】SQLインジェクション、XSS、OSコマンドインジェクション等のWebアプリ固有の攻撃 |
3. WAFとIPSの運用上の課題：フォールスポジティブ vs フォールスネガティブ
- フォールスポジティブ（False Positive：過検知 / 誤検知）: 正常な通信を誤って攻撃と判定し、遮断してしまうこと。業務影響（サービスの利用不可）が発生するため、導入時は検知モード（モニタリング）でチューニングを行う。
- フォールスネガティブ（False Negative：過小検知 / 検知漏れ）: 実際の攻撃を見逃してしまうこと。シグネチャの未更新やバイパス手法（未知のエンコード等）によって発生する。
4. 午後記述式試験（SC・AP）で使える得点キーワード・記述テンプレート
【定番記述フレーズ①（SYN Flood対策）】 「SYN Cookiesを有効化し、接続完了前のハーフオープン状態を保持しない。」（37字）
【定番記述フレーズ②（DNSアンプ攻撃の原理）】 「送信元IPを標的に偽装し、オープンリゾルバからの増幅応答パケットを集中させる。」（40字）
【定番記述フレーズ③（WAFの導入目的）】 「HTTP通信の内容を検査し、Webアプリケーション層の脆弱性を狙う攻撃を遮断する。」（42字）
【定番記述フレーズ④（WAFの過検知対策）】 「導入初期は検知のみのログモードで運用し、業務通信への誤検知を調整する。」（36字）