DDoS攻撃もサービス化へ! 被害を受けたSBT 辻氏が語る対策法 - A10 Forum 2016

[2016/04/19 10:30]星原康一 ブックマーク ブックマーク

  • セキュリティ

セキュリティ

ブログが被害に! DDoS攻撃を受けて思ったこと

次に辻氏が選んだテーマは「(D)DoS体験記」。驚くことに自身が最近、DDoS攻撃を受けたことを明かし、そのアクセスログなどを披露した。

被害を受けたのは、辻氏が「一人CSIRTとして運営している(笑)」と説明するブログ「csirt.ninja」。

「個人でDDoS攻撃されたのは、私の知る限り最近では日本で2人。ボク以外のもう一人は安倍普三さんです(笑)」(辻氏)と笑いを誘った。

攻撃は、2月1日、2日の2回にわたって受けたという。レンタルサーバを利用して運営しているため、運営会社から「急激なアクセスがあったので他のユーザーに影響を及ぼさないようサイトへのアクセスを制限します」という連絡があった。

辻氏は、閲覧することができる自身のWebサーバのアクセスログを取得。それを見ると、両日とも8時頃にスタートして、10時から11時頃に落ち着いていたという。アクセスしてきたIPアドレスのトップ20を見ると、一番多いもので約7万5,000回、一番少ないものでも1万5,000回以上。世界各国からのアクセスした際の応答時間を確認できるWebサイト「check-host.net」からのアクセスも相当数あり、攻撃者がサイトの死活状況を確認してきているのだろうと説明した。

「DDoS攻撃を受けて、管理者目線で振り返った感想は『この程度であればダウンしても許容できる』というものでした。ブログが数時間止まったからといって特に問題になることはありません。安倍普三さんの公式サイトくらいになれば影響もあるかもしれませんが、私個人のブログに関しては特段騒ぐこともないのではないというのが正直な感想です。むしろ、ITセキュリティを生業としている者としては他の方に共有できるいい経験となりました」(辻氏)

以上のような感想を踏まえたうえで、辻氏は「今回のように、攻撃でサービスが停止しても何ら問題がないケースもあるわけです。そこの防御にお金をかけても仕方がありません。守らなければならないのが何なのか。それを明確にしたうえでしっかりした対策を施すことが、やはり重要です」と基本の大切さを改めて強調した。

2日間続けて規則的な攻撃を受けた

リスクマネージメントはリスクをゼロにするものではない

講演の最後に辻氏は、「言葉は使っているうちに、あるいは周りに人から聞いているうちに、自分の中で目的が変わってきてしまうことがある」と紹介。その例の1つとして「リスクマネージメント」という言葉を挙げ、本来の意味を改めて解説しながら聴講者にアドバイスを送った。

「セキュリティを考えるうえでは、言うまでもなくリスクマネージメントが大切ですが、この言葉を使っている人の中には、リスクをゼロにしようと考える方もいらっしゃるように見受けられます。セキュリティの専門家からすると、リスクがゼロになることは絶対にありません。であるならば、リスクとは上手に付き合うことが大切なのです。

例えば、私は小さい頃から喘息持ちなので、普段からアレルギー反応を抑えるための薬を摂取していました。ただし、いくら薬を摂取しても突発的に喘息が発症することがあります。そのときのために、気管支拡張薬を常に持ち歩き、症状が出たときに吸引するわけです。

つまり、冒頭に述べたとおり、自分たちの守りたいものをまず明確にし、それに対するリスクはどの経路に存在するのか。そこから優先順位の高いものから対処する。それでも防ぎきれないこともあるので対処法も用意しておく。そのような方法でリスクを低減することがリスクマネージメントなのではないでしょうか。同じ考え方がセキュリティでも必要です。そして、限られたリソースの中での諦めも考慮しながら、今より少しでもより良いセキュリティを実現していきましょう」(辻氏)

何を守るかを考え、どの部分のリスクを許容するべきなのか。セキュリティの基本を改めて強調して降壇した。

※ 本記事は掲載時点の情報であり、最新のものとは異なる場合がございます。予めご了承ください。

もっと知りたい!こちらもオススメ

事後にこそ問われる、企業の真価-セキュリティ BIG 5が選ぶ セキュリティ事故対応アワード

事後にこそ問われる、企業の真価-セキュリティ BIG 5が選ぶ セキュリティ事故対応アワード

マイナビニュースは2月24日、「セキュリティ BIG 5が選ぶ セキュリティ事故対応アワード」を開催した。同アワードは、不幸にもセキュリティ事故/攻撃に遭ってしまったものの、その後の対応が素晴らしかった企業・団体を表彰するものだ。

関連リンク

この記事に興味を持ったら"いいね!"を Click
Facebook で IT Search+ の人気記事をお届けします

会員登録(無料)

注目の特集/連載
[解説動画] Googleアナリティクス分析&活用講座 - Webサイト改善の正しい考え方
知りたい! カナコさん 皆で話そうAIのコト
教えてカナコさん! これならわかるAI入門
対話システムをつくろう! Python超入門
Kubernetes入門
AWSで作るクラウドネイティブアプリケーションの基本
ソフトウェア開発自動化入門
PowerShell Core入門
徹底研究! ハイブリッドクラウド
マイナビニュース スペシャルセミナー 講演レポート/当日講演資料 まとめ
セキュリティアワード特設ページ

一覧はこちら

今注目のIT用語の意味を事典でチェック!

一覧はこちら

ページの先頭に戻る