1. Application, Layer-7 DDoS Attacks

アプリケーション DoS 攻撃は、よく知られている HTTP (Hypertext Transfer Protocol) や HTTPS、 SMTP、FTP、VOIP や、その他のアプリケーションプロトコルの脆弱性を利用して、標的のリソースの枯渇などを狙ったDoS攻撃となります。ネットワーク・リソースを標的とした攻撃と同様に、アプリケーション・リソースを標的とした「フラッド攻撃」や「low and slow攻撃」など、さまざまな種類の攻撃もあります。

Automation (自動化）

今日の動的で自動化された DDoS攻撃には、手動による保護では回避することが難しく、提供しているサービスの保護を保証するには、優れたデータ収集、攻撃の検出、トラフィックの迂回、攻撃の軽減などユーザの介入を必要としない完全な自動化した防御対策が重要なポイントとなっております。

Behavioral-Based Protection (振る舞い検知)

正規トラフィックに影響を与えずに攻撃のみをブロックする、DDoS緩和ソリューションを導入することが重要なポイントとなり、それには、機械学習と行動（振る舞い）ベースのアルゴリズムを活用して正規のトラフィック動作を理解し、悪意のある攻撃を自動的にブロックするソリューションを保有していることが重要なポイントと言えます。その機能により防御・保護の精度が向上、誤検知を最小限に抑えることが可能となります。

Scrubbing Capacity and Global Network（Cloud DDoS services）

量的・深刻さ・複雑化・持続的といった特徴を持つDDoS攻撃は、近年明らかに増加の一途をたどっております。クラウドDDoSサービスには、大規模な攻撃や同時攻撃に直面した場合、数Tbps相当の攻撃軽減能力を持つ堅牢なグローバル セキュリティネットワークと、DDoS攻撃トラフィックからクリーンなトラフィックを分離する専用のスクラビングセンターを提供する能力を備えている必要があります。

Multiple Deployment Options（多様な導入オプション）

DDoS攻撃軽減サービには、それぞれの組織のニーズ・予算・ネットワークトポロジ・脅威のプロファイルに合わせてカスタマイズ可能な、高い柔軟性を備えていることが重要となります。様々なネットワークトポロジ、アプリケーションホスティング環境、および遅延・待機時間に対するポリシーごとに、適切な防御サービスの提供形態（hybrid, on-demand or always-on）が提供されていることも重要なポイントの一つになります。

Comprehensive Protection Against An Array Of Attack Vectors

（多様な攻撃手法に対応する総合的な保護機能）

Step 1: Alert Key Stakeholders  (主要な利害関係者へ警告する)

組織内の主要な利害関係者に、攻撃とそれを軽減するための措置について警告する。

主要な利害関係者の例としては、CISO、セキュリティオペレーションセンター（SoC）、ITディレクター、オペレーションマネージャー、影響を受けるサービスのビジネスマネージャーなどがあります。警告は、簡潔でありながら情報量が多いものにする。

主要な情報は以下の通りです。

• 何が起きているのか
• 攻撃はいつ始まったのか
• どの資産 (アプリケーション、サービス、サーバーなど) が影響を受けているか
• ユーザーや顧客への影響
• 攻撃を軽減するためにどのような措置が取られているか

Step 2: Notify Your Security Provider  (セキュリティ プロバイダに通知する)

各セキュリティ・プロバイダに警告を発し、攻撃を軽減するための措置を開始する必要があります。

例えば、セキュリティ・プロバイダーは、インターネット・サービス・プロバイダー（ISP）

ウェブ・ホスティング・プロバイダー、または専用のセキュリティ・サービスなど利用されている場合が多いと思います。

利用ベンダーによって、防御機能やサービスの範囲が異なります。

ISPは、ネットワークに到達する悪意のあるネットワークトラフィックの量を最小限に抑え、WEBホスティングプロバイダーは、アプリケーションの影響を最小限に抑え、それに応じてサービスを拡張する処置が施される場合があります。専用のセキュリティ・サービスでは、DDoS攻撃に対処するための専用ツールを備えていることもあります。

各ベンダーのサービスについて契約をまだ結んでいない場合や、DDoS 保護サービスに加入していない場合でも、彼らに連絡して、彼らがどのように支援できるかを確認する必要があります。

Step 3: Activate Countermeasures  (対策を有効にする)

すでにDDoS対策を行っている場合は、それを有効にします。理想的には、これらの対策は、攻撃が検出されると直ちに開始されることですが、特定のツール (アウト オブ パス ハードウェア デバイスや手動でアクティブ化されたオンデマンドの緩和サービスなど) を手動で開始する必要がある場合があります。

1 つのアプローチとして、IP ベースのアクセス コントロール リスト（ACL）を実装し、攻撃元からのすべてのトラフィックをブロックすることです。これはネットワーク・ルーター・レベルで行われ、通常、ネットワーク・チームまたは ISP のいずれかが行います。この方法は、攻撃元が単一または少数である場合には有効な方法です。しかし、攻撃元が大規模なIPアドレスのプールである場合、この方法では攻撃を防げない可能性があります。

攻撃対象がアプリケーションやWebベースのサービスである場合、アプリケーションの同時接続数を制限することができます。このアプローチはレートリミッター（制限）として知られており、WebホスティングプロバイダーやCDNで頻繁に使用されている防御方法です。この方法では、悪意のあるラフィックと正当なトラフィックを区別できないため、誤検出が発生しやすい傾向があることに注意してください。

専用のDDoS 防御ツールを用いた場合には、DDoS 攻撃に対して最も広い範囲をカバーすることが可能となります。データセンター内に設定するアプライアンス型や、クラウドベースのスクラビングサービス、またはハードウェアデバイスとクラウドサービスを組み合わせたハイブリッドソリューションとして導入することが可能であったりします。

Step 4: Monitor Attack Progression  (攻撃の進行状況を監視する)

Throughout the attack, monitor the progression of the attack to see how it develops. This should include:

適切な防御体制を築くためには攻撃の状況を監視し、どのような攻撃であるかを確認することが重要で、以下のような内容を確認することが重要となります。

• DDoS 攻撃タイプ?　ネットワーク レベルのフラッドであるか、それともアプリケーション層の攻撃であるか？
• 攻撃の特徴は？ 1 秒あたりのビット数と 1 秒あたりのパケット数の両方で、攻撃の規模はどれくらいか ?
• 攻撃は単一の IP ソースからのものか、それとも複数のソースからか ? それらを特定可能か？
• 攻撃パターンはどのようなものか ? 単一の持続的なフラッドか、バースト攻撃か ? 単一のプロトコルが関与しているのか、それとも複数の攻撃ベクトルが関与しているのか ?
• 攻撃の標的は同じままか、それとも攻撃者は時間の経過とともに標的を変更しているか?

攻撃の状況などを追跡・確認することは、攻撃を阻止するための防御のチューニングにとても重要なことです。

Step 5: Assess Defense Performance  (防御性能を評価する)

最後に、攻撃が進展し、対策が有効化されたら、その有効性を評価します。

セキュリティ・ベンダーは、自社のサービス義務を約束するサービス・レベル・アグリーメントの文書を提供する必要があり、利用者はそのセキュリティ・ベンダーがSLAを満たしているかどうか、また、自社の業務に影響がないかどうかを確認する必要があります。セキュリティ・ベンダーがSLAを遵守していない場合、または攻撃を阻止できない場合は、利用者は緊急にサービスを変更する必要があるかどうかを判断する必要があります。