クラウドセキュリティ

増え続けるDDoS対策サービスへのニーズ 日々、再販パートナーさまやお客さまと接していて感じるのは、日本市場も年々セキュリティサービスのニーズが増えているということです。いわゆるお堅い業界はもちろんのこと、意外な業界から引き合いをいただくこともあります。ただ、「CDNを利用すればDDoS対策は万全なのでは？」というお言葉をいただくことも多く、その誤解を解かなければならないこともしばしばです。 そこで今回は、CDN とDDoS攻撃の関係性について簡単に説明したいと思います。 DDoS攻撃とは？ では、DDoS攻撃とはどのようなもので、どのように作用するのかをまず説明しましょう。DDoS攻撃とは、ネットワークレイヤ（レイヤ3/4）またはアプリケーションレイヤ（レイヤ7）に対するサイバー攻撃です。それぞれ手法は異なりますがWebサイトの表示を妨害して不利益をもたらすのが目的である点は同じです。 ●帯域幅圧迫攻撃（レイヤ3/4） 通常では賄えない大量のトラフィックで回線を圧迫させてWebサイトの表示を妨害する攻撃です。代表的なものは「リフレクション攻撃」や「UDPフラッド攻撃」があります。 ●セッション浪費攻撃（レイヤ3/4） 大量のパケットをサーバに送りつけた上で、サーバからの応答を無視することでサーバのリソースを枯渇させる攻撃です。代表的なものは「TCPフラッド攻撃」や「コネクションフラッド攻撃」があります。 ●アプリケーション攻撃（レイヤ７） 大量のHTTPリクエストを投げつけることでサーバの処理能力を圧迫する攻撃です。代表的なものは「HTTP GET フラッド攻撃」や「HTTP POST フラッド攻撃」があります。 CDNはDDoS対策の役にたつのか？ さて、ここまでDDoS攻撃の種類を紹介しましたが、これらの攻撃を防ぐ上でCDNは有効なのでしょうか？それぞれのタイプ別で考察してみましょう。 ●帯域幅圧迫攻撃（レイヤ3/4） CDNは大量のトラフィックでも安定配信するためのサービスです。当然ながら太い回線を複数持つことで可用性を維持していますが、結論から言うとDDoS攻撃を完全に防ぐためには「不十分」です。CDNはあくまで共用サービスであることを忘れてはいけません。もちろん回線キャパシティの範囲内であったり、他のお客さまに迷惑をかけていない状況であれば問題はありません。しかし他のお客さまの配信に影響をおよぼすレベルになれば、CDNベンダーとしては対処が必要です。場合によっては、サービス除外の措置もありえるでしょう。 ●セッション浪費攻撃（レイヤ3/4） CDNは大量のトラフィックでも安定配信するためのサービスです。当然ながら高性能なHTTPサーバを大量に分散配置させていますが、結論から言うとこの場合も「不十分」です。これも上記と同様に共用サービスである点を意識しなくてはいけません。CDNのサーバがこれに耐えられるレベルなら問題ありませんが、他のお客さまに影響をおよぼすレベルになれば対処が必要です。 ●アプリケーション攻撃（レイヤ７） 結論から言うとこの場合が最も「不十分」です。大量のHTTP GETフラッド攻撃を受けても、CDNでキャッシュしていれば問題ありません。しかし、この場合は課金トラフィックとみなされるために想定外の請求が発生する可能性があります。また、キャッシュされていない、またはキャッシュすべきでないコンテンツのリクエストの場合はどうでしょうか。この場合は、CDNで処理することができないためにお客さまのWebサーバにリクエストが届いてしまいます。