DDos攻撃の脅威への対策の必要性とその方法

DDos攻撃は、複数のパソコンを踏み台にして本丸であるサーバーにダメージを与えるサイバー攻撃です。
企業などが自社のサーバーを使えなくなると業務が滞るため、DDos攻撃は大きな脅威といえます。
この記事ではDDos攻撃がどのようなものなのか解説したうえで、企業などが対策を講じないとどのような被害を受けるのか紹介します。
具体的な対策もみていきましょう。

DDos攻撃はDos攻撃の進化版

DDos攻撃の正式名称はDistributed Denial of Service attackといい、その名のとおり分散型（Distributed）のDos攻撃（Denial of service attack）です。
企業などが提供するサービスを標的にする点では、DDos攻撃とDos攻撃は共通しています。サービスを妨害する目的なので、企業がサービスを提供するときに使うサーバーを攻撃するわけです。
違いは攻撃方法で、Dos攻撃は1台のパソコンから1台のサーバーを狙いますが、DDos攻撃は複数のパソコンから1台のサーバーを攻撃します。

まずはパソコンなどの小さなモノを狙う

DDos攻撃をしかける者は、ターゲット企業の従業員などが使っている複数のパソコンを最初に狙います。また最近は、IoT機器も標的になります。つまり、サーバーにつながっている電子機器はすべて攻撃の対象になります。
攻撃者がパソコンやIoT機器を乗っ取ると、攻撃対象の企業はそれらのパソコンやIoT機器から攻撃されることになります。

攻撃者からするとパソコンやIoT機器は、堅い防御に守られているサーバーより攻撃しやすい対象です。しかも複数のパソコンやIoT機器が武器になるので波状攻撃が可能です。
DDos攻撃は攻めやすく守りにくいため、圧倒的に攻撃者が有利で、圧倒的に企業側が不利です。

さまざまな攻撃

DDos攻撃にはさまざまな種類があります。

接続要求攻撃（SYNフラッド攻撃）は、TCPの仕組みを悪用した攻撃です。TCPはネット上の通信の仕組みで、送信側と受信側がお互いにデータが届いたことを確認しながら通信を進めていきます。
接続要求攻撃では、接続要求だけを大量に出して返信しません。返信が来ないので受け手側（攻撃されている企業のサーバー）は待機状態になり、それが続くとサーバーが許容量を超えてしまいパンクします。
切断要求攻撃（FINフラッド攻撃）は、切断要求を大量に出し続けてサーバーをパンクに追いやります。

通信負荷をかける攻撃（ACKフラッド攻撃）は、TCPの接続要求や切断要求で使われるACKパケットを大量に送信する手法です。ACKは「応答した」という意味のサインなので、それだけでは意味を持ちません。そのためACKを受け取ったサーバーはこれを無効にする処理を行います。それで大量にACKが届くと処理が追いつかずサーバーがダウンしてしまいます。

その他、TCP対策を講じたサーバーを攻撃するUDPフラッド攻撃や、Webサーバーで使われるHTTP通信方式を悪用したHTTP GET攻撃などがあります。

DDos攻撃でどのような被害が出ているのか

DDos攻撃の具体的な被害事例を紹介します。
2020年東京五輪・パラリンピック大会組織委員会のホームページが2015年11月に、12時間にわたって閲覧不能になりましたが、これはDDos攻撃を受けたとされています（＊1）。
2016年にはアメリカのDNSサービスを提供しているDynという会社がDDos攻撃を受け、この会社のDNSサービスを利用しているツイッターやショピファイが自社サービスを提供できなくなる事態が生じました（＊2）。

＊1：https://www.nikkei.com/article/DGXLASDG05H5W_V01C15A1CC1000/
＊2：https://xtech.nikkei.com/it/atcl/news/16/102203079/

DDos攻撃を受けと企業はどうなってしまうのか

攻撃者がDDos攻撃を使うのは、企業などの標的に大きなダメージを与えることができるからです。
攻撃者は企業などに「攻撃をやめてもらいたければカネを払え」と要求します。もしくは抗議や嫌がらせ目的で攻撃することもあります。
では、自分の会社がDDos攻撃に遭ってしまったら、どのような被害が出るのでしょうか。

サーバーを使った業務ができなくなる

DDos攻撃が成功してしまうとサーバーがダウンするので、企業はサーバーを使った仕事ができなくなります。
サーバーで通販サイト（EC）を運営していたら、モノが売れなくなります。
サーバーで業務システムを動かしていたら、業務が滞ります。

経営を揺るがす

例えばある小売企業の売上構成がリアル店舗50％、通販サイト50％だった場合、この企業がDDos攻撃を受けたら売上高が半分になってしまいます。
また最近はリアル店舗と通販サイトを連動させている小売企業もあるので、その場合はリアル店舗の売上高にも影響が出ます。

経理業務にシステムを導入していたら経理業務が滞ります。在庫管理にシステムを使っていたら、在庫状況がわからなくなります。顧客管理システムが使えなくなれば、顧客とコンタクトが取れなくなり、マーケティングが停止するでしょう。

このようにDDos攻撃は企業の経営を根本から揺るがすことになります。

「サイバー攻撃に弱い企業」と認識され信頼を失う

先ほど「DDos攻撃によって東京五輪サイトがダウンした」「DDos攻撃によってツイッターが使えなくなった」と紹介しました。このような事件は瞬く間にニュースとして世界中に広がります。
そしてこのニュースを聞いた人たちは、攻撃者の悪事を知る一方で、被害を受けた側のセキュリティ環境を懸念するでしょう。そして直感的に「サイバー攻撃に弱い企業」と感じてしまいます。
つまり、攻撃されて被害を受けた企業は、被害それ自体と、被害状況が知られて信頼を失う被害の2つの被害を受けることになります。

身代金を支払うことによる損害

攻撃者はDDos攻撃が成功すると、身代金を要求することがあります。企業がそれに応じてしまえば、支出したお金がそのまま損失になります。
そして一度攻撃者に屈した企業は、攻撃者には「脅せばカネを取ることができる企業」と映るので再び襲われる危険があります。

DDos攻撃への対策にはどのようなものがあるのか

DDos攻撃を受け、それが成功してしまうと、企業は大きな損失を被ります。
しかし、しっかり対策を講じておけばDDos攻撃を仕掛けられても被害を受けないで済みます。
DDos攻撃対策にはどのようなものがあるのか紹介します。

特定の国のIPアドレスに制限をかける

DDos攻撃ではデータ通信が使われるので、攻撃者のIPアドレスからのデータ通信をシャットアウトすれば攻撃を回避できます。つまり攻撃者のIPアドレスを制限すればよいわけです。
しかしDDos攻撃は複数のIPアドレスから一斉に攻撃を仕掛けられるため、IPアドレス制限は「いたちごっこ」になりかねません。
そこで特定の国のIPアドレスを丸ごと制限する方法が有効になることがあります。攻撃者が多い国で、なおかつその国に顧客がいなければ、その国からデータ通信を受けなくてもビジネスは成立します。例えば、顧客のほとんどが日本国内にいる企業では、海外からのアクセスを拒否してしまう方法もあります。

対策ツールを導入する

事業をグローバル展開している企業の場合、海外からのアクセスを拒否することは難しくなります。
その場合、IDS、IPS、WAF、CDNといった対策ツールが有効になります。

Intrusion Detection System（不正侵入検知システム、IDS）は、サーバーへのアクセスに異常があった場合に、サーバーの管理者に通知する仕組みです。IDSを導入しておけば異常が起きたときに素早く対処することができます。

Intrusion Prevention System（不正侵入防御システム、IPS）はIDSと一緒に使います。IDSで危険を察知したらIPSが作動して自動で対象となる通信を遮断します。

Web Application Firewall（WAF）は、通常のファイアウォールのWebサイト版といえるでしょう。通常のファイアウォールはネットワークを守りますが、WAFはWebサイト上のアプリケーションを守ります。

Contents Delivery Network（CDN）は、自社サーバーの他にキャッシュサーバーを設置することでDDos攻撃をかわします。
キャッシュサーバーがあれば、攻撃者はキャッシュサーバーにアクセスすることになります。そのため大元である自社サーバーは無傷でやりすごすことができます。

パソコンやスマホ以外のIoT機器にも対策を講じる

DDos攻撃ではパソコンやスマホだけでなく、IoT機器も「足がかり」に使われます。
企業がDDos攻撃対策を講じるときは「すべての機器」を対象にするようにしましょう。

サイバーセキュリティに精通した当社にお任せください。

DDos攻撃から会社を守るには、自社だけで対応するのは困難です。
まずはセキュリティを専門にしている当社のコンサルティングをご利用いただき、自社のシステム状況やネットワーク環境を把握し、、どのようなリスクがあり、どのような防御が有効なのかアドバイスを致します。。

DDos攻撃対策で難しいのは、対策しすぎると正常アクセスが制御されてしまうことです。また対策にはコストがかかります。
したがってDDos攻撃対策では、対策の有効性に加えて、ビジネスの正常運転の確保や費用対効果、コストパフォーマンスを検討する必要があります。

まとめ～投資の一環として

投資、DX投資と聞くと、新しいデジタル技術や新しいシステムを社内に導入するイメージを持つと思いますが、サイバー攻撃対策への投資も欠かせません。
企業のお客様の個人情報をお預かりしたり、業務に円滑化をもたらす大切なサーバーを守るため、DDos攻撃は特に意識したいものです。
DDos攻撃対策費は企業にとっては利益を生まないコストですが、平穏な事業環境をつくるための必要経費と考えることもできます。
攻めと守り、両方まとめてIT投資と考えてみてはいかがでしょうか。