サービス拒否攻撃とDDoS

サービス拒否（DoS）攻撃は、トラフィックでシステムやネットワークリソースを過負荷にしたり、サービスをクラッシュさせる脆弱性を悪用したりすることで、正規のユーザーが利用できない状態にしようとします。

DoSは単一の送信元から発生します。DDoS（分散型DoS）は、侵害された数千台から数百万台のデバイス（ボットネット）や増幅を利用して、攻撃トラフィックを生成します。DDoSは送信元が世界中に分散しているため、遮断がはるかに困難です。

ボリューム型攻撃は、生のトラフィックで標的の帯域幅を埋め尽くします:

• UDPフラッド — 偽装したUDPパケットで帯域幅を飽和させます
• ICMPフラッド — pingパケットで標的を過負荷にします
• DNS増幅 — 小さなDNSクエリに対して大きな応答を返し、被害者に送信します

Gbps単位で測定され、一部の攻撃は1 Tbpsを超えます。

プロトコル攻撃は、ネットワークプロトコルの弱点を悪用します:

• SYNフラッド — 数千のTCP SYNパケットを送信し、サーバーの接続テーブルを枯渇させます
• Ping of Death — 脆弱なシステムをクラッシュさせる、サイズの大きなICMPパケットを送信します
• Smurf攻撃 — 偽装したICMPをネットワークのブロードキャストアドレスに送信し、すべてのホストから被害者に返信させます

アプリケーション層（レイヤー7）攻撃は、正規のリクエストに見えるリクエストで、特定のアプリケーション機能を標的にします:

• HTTPフラッド — 数百万件のGET/POSTリクエストを送信します
• Slowloris — 不完全なHTTPヘッダーをゆっくり送信し、サーバーの全接続を占有します
• SSL枯渇 — TLSハンドシェイクにかかるCPUコストを悪用します

増幅攻撃は、要求された量を大幅に上回るデータを返すプロトコルを悪用します:

• DNS増幅: 60倍の増幅率
• NTP増幅: 556倍の増幅率
• Memcached増幅: 51,000倍の増幅率（2018年には1.7 Tbpsの攻撃）

攻撃者は送信元として被害者のIPアドレスを偽装し、リフレクターから被害者に大量の応答を送信させます。

スクラビングセンターは、DDoSトラフィックを吸収してフィルタリングし、標的に到達する前に除去するための専門インフラです。主要プロバイダー（Cloudflare、Akamai、AWS Shield）は、数百Tbpsのスクラビング容量を備えています。

アプリケーションレベルの防御:

• IPアドレスまたはユーザーごとのレート制限
• 不審なトラフィックパターンに対するCAPTCHAチャレンジ
• 接続のスロットリング
• IPレピュテーションによるブロック（既知のボットネットIP）

エニーキャストは、攻撃トラフィックを世界中の複数のデータセンターに分散します。1つの標的ですべてのトラフィックを受け止めるのではなく、負荷を分散します。CloudflareなどのCDNは、エニーキャストを使用して大規模なボリューム型攻撃に対処します。

DDoSはサイバー戦争の手段としてよく使われます。主な事例:

• 2007年のエストニア — 政治危機の最中に政府や銀行のサイトがオフラインに追い込まれました
• 2022年のウクライナ — ロシアの侵攻中にウクライナ政府のサイトが標的になりました
• 政治的主張のためにDDoSを使用するハクティビスト

組織は、承認済みの負荷テストツールを使ってレジリエンスをテストできます:

• siege — HTTP負荷テスト
• ab（Apache Bench） — 簡単なHTTPベンチマーク
• 商用のストレステストサービス（承認が必要）

自分が所有していないシステムや、書面による許可を得ていないシステムをテストしてはいけません。

利用可能なすべてのサーバー接続を占有するために、不完全なHTTPヘッダーを非常にゆっくり送信する攻撃はどれですか？

DoS/DDoS攻撃は、トラフィックで標的を過負荷にしたり、プロトコルの弱点を悪用したりして、サービスを拒否します。攻撃の種類には、ボリューム型（UDP/DNSフラッド）、プロトコル型（SYNフラッド）、アプリケーション層（Slowloris、HTTPフラッド）があります。防御には、スクラビングセンター、エニーキャスト、レート制限、CAPTCHAなどがあります。増幅攻撃は、リフレクターを悪用して攻撃力を増幅します。