DDoS攻撃（分散型サービス妨害攻撃）は、多数の発信元から大量のアクセスを一斉に送りつけ、Webサイトやサーバーを使えない状態に追い込む攻撃です。システムの弱点を突いて中へ入り込む攻撃とは違い、狙いは「受付がさばけない状態」を作ることにあります。
利用者から見ると、ただの「つながらない」
お店の電話回線に、何者かがいたずら電話をかけ続けたとします。回線はふさがり、本当のお客さんからの電話がつながらなくなる。DDoS攻撃もこれと同じで、無関係なアクセスが押し寄せてサーバーの処理が追いつかなくなり、本来サイトを使いたい人がたどり着けなくなります。
○○ストア、さっきから全然つながらないんだけど。
自分も。セールでもないのに、なんで？
利用者の側からは、サイトが重い、開かない、としか見えません。アクセスが集中しただけの状態と区別がつきにくいので、次のような変化が攻撃を疑うきっかけになります。
- 特定の時間帯にアクセスが急に増え、サイトが重くなったり応答しなくなったりした
- 心当たりのないアクセスの増加が続き、利用者から「つながらない」と報告が来ている
- セールやキャンペーン中でもないのに、ECサイトが急に落ちた
- 同業他社や関連団体が攻撃を受けたのと同じ時期に、自社サイトへの異常なアクセスが増えた
量で押してくる攻撃に効くもの
通信の中身が危険かどうかにかかわらず、処理できる量を超えたアクセスが続けばサーバーは止まります。だから、中身を検査して危険な通信を止める WAF だけでは足りません。一定時間あたりの回数を制限するレートリミットも対策の一つですが、大規模な攻撃を一人で受け止めきれるとは限りません。
実際には、ロードバランサーや WAF、専門の対策サービスや CDN 事業者の防御など、いくつかの守りを重ねて備えます。それでも、対策を入れていても量で押し切られる場合があるのが、この攻撃の厄介なところです。
攻撃が始まったら誰に電話するか
押し切られる可能性がある以上、攻撃を受けた前提で初動を決めておきます。
通信量やアクセス数を普段から監視して、いつもと違う増え方に早く気づけるようにしておく。契約しているサーバー会社やセキュリティベンダーの連絡先を、すぐ取り出せる場所に控えておく。自社だけで抱え込まず、専門の対策サービスへの相談も選択肢に入れておく。攻撃のさなかに連絡先を探し始めると、それだけで対応が遅れます。