分散型サービス妨害 (DDoS) 攻撃は、複数のコンピューターを単一の攻撃プラットフォームに変えます。悪意のあるプログラムがこれらのコンピューターにリモートで接続し、1 つ以上のターゲットに対して攻撃を開始します。攻撃はターゲットサーバーの処理能力またはネットワーク帯域幅を消費するため、サーバーは正常にサービスを提供できなくなります。
DDoS 攻撃の仕組み
DDoS 攻撃は、本質的にボットネットを使用した組織的な攻撃です。
攻撃者は違法な手段で多数のインターネット接続デバイスを制御し、大規模なボットネットを構築します。
攻撃中、攻撃者はコントロールサーバーからコマンドを発行します。ボットネット内のすべてのゾンビホストは、Web サイトやサーバーなどの特定のターゲットに対して、集中的かつ大量の無効なリクエストまたはトラフィックを同時に送信します。
この突然のトラフィック急増により、ターゲットサーバーのシステムリソースまたはネットワーク帯域幅がすぐに枯渇し、サービスの応答が遅くなるか、完全に停止します。その結果、サーバーは正規のユーザーからの正当なリクエストを処理できなくなり、意図されたサービス妨害が発生します。
DDoS 攻撃とその影響
重大な経済的損失とブランドイメージの毀損：攻撃によってサービスが中断し、ユーザーアクセスがブロックされると、注文の損失や顧客の離反などの直接的な経済的損失が発生します。また、ブランドイメージも深刻なダメージを受けます。
説明例：e コマースプラットフォームが DDoS 攻撃を受けると、Web サイトにアクセスできなくなるか、一時的にシャットダウンするため、正規のユーザーは注文を行えなくなります。
データ侵害のリスク：DDoS 攻撃は、陽動作戦として利用されることがあります。ネットワークに混乱を引き起こしている間に、攻撃者はその機会を利用してシステムに侵入し、機密性の高い重要なデータを盗む可能性があります。
悪意のあるビジネス競争：攻撃者は DDoS 攻撃を不公正な競争戦術として使用し、競合他社のサービスを麻痺させてそのビジネスにダメージを与え、市場シェアを奪い、業界のエコシステムを破壊します。
説明例：ゲームサービスが DDoS 攻撃を受けると、プレイヤー数が急激に減少し、数日以内にサービスが完全にオフラインになります。
サービスが DDoS 攻撃を受けているかどうかの確認方法
サービスが DDoS 攻撃を受けているかどうかを判断するには、次の異常な症状を確認してください。
資産が攻撃を受けているかどうかは、Traffic Security コンソールの 資産 ページに表示される資産ステータスで判断します。 資産ステータスを表示する手順については、「「資産」ページを表示する」をご参照ください。
サービス品質の低下：サービスへのアクセスが遅延したり、応答が遅くなったり、多数のユーザーが同時に切断されたりします。
サーバーリソース使用率の異常：CPU またはメモリの使用率が短時間で急上昇します。
ネットワークトラフィックの急増：アウトバウンドまたはインバウンドトラフィックに異常なピークが見られます。
不明なリクエストの殺到：Web サイトまたはアプリケーションが不明なソースから多数のリクエストを受信します。
リモート管理の問題：サーバーにログオンできないか、応答が極めて遅くなります。
Alibaba Cloud が提供する DDoS 保護
適切な Anti-DDoS 製品を選択するには、選択ガイドをご参照ください。
Anti-DDoS Basic (無料)
Anti-DDoS Basic は、お客様が購入された Alibaba Cloud 製品 (Elastic Compute Service、Server Load Balancer、EIP (NAT Gateway にバインドされた EIP を含む)、、Global Accelerator、Web Application Firewall) に対して、500 Mbps から 5 Gbps の DDoS 防御能力を提供します。詳細については、各クラウド製品のドキュメントをご参照ください。
Anti-DDoS Native
Anti-DDoS Native は透過モードで統合され、Alibaba Cloud にデプロイされたリソースを保護します。詳細については、Anti-DDoS Native とはをご参照ください。
Anti-DDoS Proxy
Anti-DDoS Proxy はプロキシアクセスモードで統合され、ポートとドメイン名を保護します。Alibaba Cloud にデプロイされていないホストも保護できます。詳細については、Anti-DDoS Proxy とはをご参照ください。
一般的な DDoS 攻撃のタイプ
DDoS 攻撃カテゴリ | 攻撃サブタイプ | 説明 |
不正なパケット | 不正なパケットには主に、Frag Flood、Smurf、Stream Flood、Land Flood、不正な IP パケット、不正な TCP パケット、不正な UDP パケットが含まれます。 | 不正なパケット攻撃は、欠陥のある IP パケットをターゲットシステムに送信し、システムがパケットを処理する際にクラッシュさせ、サービス妨害を引き起こします。 |
トランスポート層 DDoS 攻撃 | トランスポート層 DDoS 攻撃には主に、SYN Flood、ACK Flood、UDP Flood、ICMP Flood、RST Flood が含まれます。 | 例えば、SYN Flood 攻撃は TCP 3 ウェイハンドシェイクを悪用します。サーバーが SYN リクエストを受信すると、一定期間リッスンキューを使用して接続を保持する必要があります。攻撃者は SYN+ACK パケットに応答せずに SYN リクエストを送信し続け、これによりサーバーのリソースが消費されます。リッスンキューがいっぱいになると、サーバーは正規のユーザーからのリクエストに応答できなくなり、サービス妨害が成立します。 |
DNS DDoS 攻撃 | DNS DDoS 攻撃には主に、DNS Request Flood、DNS Response Flood、偽装および実際のソースからの DNS Query Flood、権威サーバー攻撃、ローカルサーバー攻撃が含まれます。 | 例えば、DNS Query Flood 攻撃は本物のクエリリクエストを送信しますが、これは本質的には正常なサービス動作です。ただし、多数のゾンビホストが同時に大量のドメイン名クエリリクエストを送信すると、サーバーは正常なクエリに応答できなくなります。これによりサービス妨害が発生します。 |
接続ベースの DDoS 攻撃 | 接続ベースの DDoS 攻撃は主にスロー攻撃であり、TCP スロー接続攻撃、接続枯渇攻撃、LOIC、HOIC、Slowloris、Pyloris、XOIC などが含まれます。 | 例えば、Slowloris 攻撃は Web サーバーの同時接続数制限を標的にします。同時接続数がこの制限に達すると、Web サービスは新しいリクエストを受け入れられなくなります。Web サービスが新しい HTTP リクエストを受信すると、リクエストを処理するために新しい接続を確立し、処理完了後に接続を閉じます。接続が開いたままの場合、Web サービスは新しい HTTP リクエストを処理するために別の接続を確立する必要があります。すべての接続が開いたままになると、Web サービスは新しいリクエストを処理できなくなります。 Slowloris 攻撃は HTTP プロトコルの特性を悪用します。HTTP リクエストは |
Web アプリケーションレイヤー DDoS 攻撃 | Web アプリケーションレイヤー攻撃には主に、HTTP GET Flood、HTTP POST Flood、CC 攻撃が含まれます。 | アプリケーション層攻撃は通常、ユーザーリクエストを正確にエミュレートします。検索エンジンやクローラーからのトラフィックと同様に、これらの攻撃は通常のビジネストラフィックとの厳密な境界がなく、区別が困難です。 Web サービスの一部のトランザクションやページはリソースを大量に消費します。例えば、Web アプリケーションにおけるページネーションやシャーディングを考えてみましょう。ページを制御するパラメータが大きすぎると、頻繁なページ切り替えによって Web サービスのリソースが大量に消費されます。特に、同時実行性が高く、頻繁に呼び出される状況では、このようなトランザクションが初期の CC 攻撃の標的になりました。 現在のほとんどの攻撃はハイブリッドであるため、ユーザー動作をシミュレートする頻繁な操作はすべて CC 攻撃と見なすことができます。例えば、チケット取得ソフトウェアからの Web サイトアクセスは、ある程度 CC 攻撃です。 CC 攻撃は Web アプリケーションのバックエンドサービスを標的にします。サービス妨害を引き起こすだけでなく、Web 応答時間、データベースサービス、ディスクの読み取り/書き込み操作など、Web アプリケーションの機能とパフォーマンスに直接影響を与えます。 |