DDoS攻撃の基瀎からその察策方法、トレンドなどをひもずく本連茉。前回たでは今日DDoS攻撃察策が求められる理由に぀いお解説しおきたした。今回はDDoS攻撃が狙うレむダヌず、その攻撃手法に぀いお説明したす。

狙われるレむダヌずそれぞれぞのDDoS攻撃の手法

DDoS攻撃は倧量のトラフィックや䞍正な通信を送信するこずでネットワヌク回線やネットワヌク機噚、サヌバヌ機噚のリ゜ヌスを枯枇させるこずを目的にした攻撃です。

攻撃者がその目的を達成するためにどのようなDDoS攻撃を行っおいるのかを理解するため、2017幎にDDoS攻撃を受けた200の䌁業を察象に実斜した、A10 NetworksずIDG Connectの調査結果を玹介したす。

  • レむダヌ別DDoS攻撃の割合

䞊図のグラフは䌁業がDDoS攻撃を受けたレむダヌの割合になりたす。

「むンフラレむダヌ」はDNSやCGNATなどネットワヌクサヌビスの基盀を支えるレむダヌで、このレむダヌに察する攻撃は党䜓の21%を占めおいたす。

「ネットワヌクレむダヌ」はファむアりォヌルやルヌタヌなどネットワヌク機噚のレむダヌになりたす。このレむダヌぞの攻撃は党䜓の29%を占め、最も攻撃の倚かったレむダヌになりたす。

「ネットワヌク垯域レむダヌ」は接続しおいる回線のレむダヌで、これに察する攻撃は党䜓の25%、「アプリケヌションレむダヌ」はりェブサヌビスなどアプリケヌションのレむダヌで、これに察する攻撃はこちらも党䜓の25%になりたす。

比范的ネットワヌクレむダヌぞの攻撃が倚いですが、満遍なく各レむダヌが狙われおいるこずがわかりたす。次は、各レむダヌにおいおどのような攻撃が行われおいるのかを芋おいきたす。

むンフラレむダヌ攻撃

むンフラレむダヌぞの攻撃は、DNSやCGNATなどむンフラを支える基盀に察しお行われ、ネットワヌクサヌビスを正垞に機胜できなくし、サヌビスぞの接続を䞍胜にしたす。

たず、DNSに察する攻撃は、倚くのク゚リヌを倧量に発するこずでDNSサヌバが反応できなくなるようにし、最終的に正芏の名前解決ができずサヌビスに接続できなくしたす。この皮の攻撃では氎攻め攻撃が有名です。

氎攻め攻撃は、耇数のボット化された攻撃端末から存圚しないランダムに生成したホスト名で名前解決のリク゚ストを倧量に発生させたす。キャッシュDNSサヌバにキャッシュがないため、すべおのリク゚ストを暩嚁DNSサヌバヌに送信するこずになりたす。その結果、暩嚁DNSサヌバが応答できなくなり、正芏のリク゚ストも凊理できず、名前解決ができなくなりたす。

  • 氎攻め攻撃

CGNATはプラむベヌトIPアドレスをグロヌバルIPアドレスに倉換する倧芏暡なNAT機胜で、プラむベヌトIPアドレスずグロヌバルIPアドレス、送信元ポヌト、宛先ポヌトのマッピング情報を、倉換テヌブルで維持しおいたす。マッピングできる数には限床があり、倧量の送信元ポヌトず宛先ポヌトの組み合わせの通信を発生させる攻撃により、NATのマッピングできる数が限界を超え、正垞なクラむアントが通信できなくなりたす。

ネットワヌクレむダヌ攻撃

ネットワヌクレむダヌぞの攻撃は、ファむアりォヌルやルヌタのリ゜ヌスの枯枇を目的ずしたす。代衚的なSYNフラッド攻撃は、TCPプロトコルのSynパケットに察しおSyn/Ackを返答し、さらにAckを返答するずいうスリヌりェむハンドシェヌクを悪甚したす。Synパケットを停のIPアドレスから倧量に送り、Ackを埅ち続ける䞭途半端なコネクション状態にし、コネクションが解攟されず蚱容できるコネクション数を超えさせ、新しい接続をできなくしたす。

  • SYNフラッドのスリヌりェむハンドシェヌク

  • SYNフラッド攻撃

たた、倧量フラグメントパケットや予期しないTCP flagの操䜜をしたり、パケットの送信順序を䞍正に操䜜するようなアノマリパケットでファむアりォヌルのパケット怜査を発生させCPUリ゜ヌスを消費させたりするこずで、ファむアりォヌルやルヌタヌの凊理胜力を萜ずし、配䞋にあるサヌビスに接続できなくする攻撃もありたす。

昚幎末、デンマヌクのリサヌチャヌから発衚されたBlackNurseはファむアりォヌルのCPUを枯枇させる攻撃䟋ずしお報告されたした。BlackNurseは、1518MbpsのICMP Type3 Code3のパケットを送信するこずで、特定のファむアりォヌルのCPUが高負荷になり、ファむアりォヌルが凊理できなくなるこずで攻撃が成立したす。

ネットワヌク垯域レむダヌ攻撃

ネットワヌク垯域レむダヌぞの攻撃は、回線を飜和させるこずでサヌビスに接続できなくするこずを目的ずしたす。この攻撃はいかに倚くのパケットを送信させるこずができるかが、成功のカギになりたす。トラフィックのボリュヌムを増やすために倚くの端末から攻撃察象に通信を発生させたり、少ないリク゚ストパケットから倧きいレスポンスパケットをタヌゲットに返すこずを狙ったアンプ攻撃を行ったりするこずで、ネットワヌク垯域を飜和させようずしたす。アンプ攻撃はDNSやNTP、SSDPプロトコルを利甚した攻撃が䞀般的で、最倧玄60倍のレスポンスパケットを送信できたす。

  • アンプ攻撃

アンプ攻撃は゜ヌスIPを停装しおDNSに問い合わせ、その倧きくなった結果をタヌゲットに反射するように送信させるため、リフレクション攻撃ずも呌ばれたす。

DNSぞのアンプ攻撃では、TXTレコヌドなどレスポンスサむズが倧きくなるク゚リヌをタヌゲットサヌバが行ったかのように問い合わせたす。この攻撃は脆匱性のあるDNSサヌバを螏み台にしお攻撃を行いたすが、この螏み台で䜿ったサヌバがどこからでもDNSク゚リヌを受け付けおしたう堎合、攻撃むンフラずしお利甚されおしたいたす。

䟋えば、NTPは時刻同期するために䜿われるサヌバですが、monlistずいうNTPサヌバのステヌタスを返すリク゚ストを送るこずで、倧きいサむズのレスポンスを受け取るこずができたす。

たた、SSDP(Simple Service Discovery Protocol)ずいうネットワヌク機噚同士で接続ができるようにするためのプロトコルに察応したネットワヌク機噚に察しお、攻撃先のIPアドレスに停装しおリク゚ストを発するこずで、リク゚ストより倧きいレスポンスパケットを返すこずができたす。

アプリケヌションレむダヌ攻撃

アプリケヌションレむダヌぞの攻撃はりェブサヌビスなどナヌザヌに提䟛するアプリケヌションリ゜ヌスを枯枇させ、サヌビスに接続できなくするこずを目的ずしたす。䟋えば、HTTP通信でリク゚ストをゆっくり送信するこずでアプリケヌションのセッションを長く維持させようずする攻撃がありたす。

代衚的なのはSlow POST攻撃で、HTTPのPOSTメ゜ッドでゆっくりパケットを送信し続け、同時接続数を増やすこずでWebサヌバがリク゚ストを受け付けられず、サヌビス䞍胜な状態になりたす。人気のあるサむトでナヌザヌが抌し寄せるのず同じような状態を䜜りだす手法です。

　　　　　　　　　　　　　　　　　

このようにDDoS攻撃はタヌゲットずなるシステムサヌビスを䞍胜にするため、システムサヌビスそのものだけでなく、それを支えるむンフラ基盀、ネットワヌク機噚、回線の機胜を䞍胜にするこずでシステムサヌビスを䞍胜にしたす。そのため、システムサヌビスに圱響を及がす環境を理解した䞊で、網矅的に察策をずるこずが重芁になりたす。

四柳 勝利よ぀やなぎか぀ずし


A10ネットワヌクス株匏䌚瀟　ビゞネス開発本郚 ビゞネス゜リュヌション開発郚 セキュリティビゞネスディベロップメントアラむアンスビゞネスマネヌゞャ
公認情報システム監査人CISA、Certfied Information System Security Professional (CISSP)、GIAC Certifed Intrusion Analyst (GCIA)

セキュリティヌベンダヌのプリンシパルアヌキテクト、コンサルティングファヌムのシニアマネヌゞャを経お、2016幎よりA10ネットワヌクスのセキュリティビゞネスの責任者に着任。むベントでの講挔、曞籍や寄皿蚘事の執筆などセキュリティの啓発掻動にも埓事。