ブログ

DDoSとCC攻撃の原理と一般的な防御方法（実際のケースを交えて）

02 2025年5月 張掖

ネットワーク・セキュリティの分野では、DDoS（Distributed Denial of Service Attack）とCC（Challenge Code Attack）は2大「トラフィック・キラー」と呼ぶことができる。前者は「洪水のようなトラフィック」でターゲット・サーバーを氾濫させ、後者は「正確なリクエスト」でシステム・リソースを使い果たす。 この2つは目的は似ているが、技術的な原理や防御ロジックは大きく異なる。

I. DDoS攻撃とは何か？

1.基本原則：分散型コラボレーションの "人の海"

DDoS攻撃は、何百、何千もの「ゾンビ・ホスト」(ボットネット)、ターゲットサーバーに膨大な数の無効なリクエストを送信し、最終的にネットワーク帯域幅を占有し、サーバーリソースを使い果たし、通常のユーザーはアクセスできなくなる。

一般的な攻撃には以下のようなものがある：

  • SYN洪水TCP 3回ハンドシェイクの欠陥を悪用し、大量のセミオープン接続要求を送信し、サーバーの接続プールを使い果たす（例えば、この種の攻撃は電子商取引の販売時によく見られる）；
  • UDPフラッドランダムなポートに大量のUDPパケットを送り、ターゲット・デバイスにエラー・レスポンスを返し続けさせ、CPUリソースを消費させる；
  • DNSフラッド偽のドメイン名解決リクエストによってDNSサーバーが過負荷になり、連鎖的にサービスが停止する。
DDoS攻撃の概略を説明する
DDoS攻撃模式図

2.交通の特徴："量と多様性 "という暴力的な美学

DDoS攻撃トラフィックには通常3つの特徴がある：

  • 単一ノードのトラフィックのピークが目標帯域幅のしきい値を超える（50Gbpsを超えるなど）；
  • 発信元IPは分散しており、地理的にも行動パターンも明確ではない；
  • 無効なリクエスト(例えば、不正なパケット、異常なプロトコル形式)を多く含む。

実際の事例：ブロックチェーン取引所が800GbpsのDDoS攻撃を受け、ユーザー取引ページが完全に麻痺した。トラフィック分析により、攻撃トラフィックの70%がUDPパケットであり、ソースIPが世界200カ国以上に及ぶ典型的な分散協調攻撃であることがわかりました。

次に、CC攻撃とは何か？

1.核心原理：通常ユーザーを偽装する「資源枯渇テクニック

CC攻撃は、実際のユーザーの行動をシミュレートし、正規のHTTP/HTTPSリクエスト（ホームページへのアクセス、フォームの送信、APIの呼び出しなど）をターゲットサーバーに高頻度で送信することで、アプリケーション層（OSIレイヤー7）に焦点を当てます。各リクエストは正常に見えるため、従来のファイアウォールでは認識することが難しく、最終的に以下のような問題が発生する：

  • ウェブサーバーのスレッドプールが満杯で、実際のユーザーリクエストを処理できない；
  • データベース接続は過負荷になり、クエリの応答時間はミリ秒から数分に急増した；
  • CDNエッジノードのキャッシュ障害やバック・トゥ・ソース・リクエストの急増は、ソース・ステーションの足を引っ張る。
CCアタック概略図
CCアタック概略図

2.交通の特徴："合法的だが普通ではない "という優しい締め付け

DDoSの「総当たり」トラフィックとは異なり、CC攻撃はよりステルス性が高い：

  • 単一のIPリクエストの頻度が異常に高い（1分間に数百のページビューなど）；
  • リクエストは特定のURL（eコマースの「チェックアウトページ」、ゲームの「ログインインターフェイス」など）に集中する；
  • 実際のUser-Agent、クッキーなどのブラウザフィンガープリントを含み、人間のブラウジング待ち時間さえシミュレートします。

事例：ある越境EC企業がCC攻撃を受けた。攻撃者は「商品詳細ページ」に対して毎秒2000件のリクエストを行い、サーバーのCPU使用率は100%に達し、商品購入機能が完全に停止した。

III.ディフェンスシステムの構築：「リアクティブ・ディフェンス」から「プロアクティブ・ディフェンス」へ

1.共通の防衛戦略：強力なサイバーセキュリティ・ベースラインの構築

交通清掃技術：専用機器やクラウドサービスを利用（例08Host DDoS保護そしてクラウドフレア・スペクトラム)、悪意のあるトラフィックをリアルタイムでフィルタリングする。

典型的なステップ

トラフィックのミラーリング分析により、異常なトラフィック特性（DDoSのトラフィック急増、CCの高頻度URLリクエストなど）を特定；

ルールエンジン（IPブラックリストやホワイトリスト、リクエスト頻度制限など）やAIモデル（機械学習によるユーザー行動ベースライン）に基づいて、悪意のあるリクエストをブロックする；

クリーニングされたクリーンなトラフィックは、サーバーの正常な処理能力を保護するためにソースに戻される。

弾力的な帯域幅と負荷分散：

クリティカルなサービス用に冗長帯域幅（20Gbpsのベース帯域幅＋50Gbpsのバースト拡張など）を構成し、負荷分散装置（F5BIG-IPなど）と組み合わせてトラフィックを複数のサーバーノードに分散させ、一点集中型の過負荷を回避する。

2.DDoS標的型防御

IPトレーサビリティとボットネット対策：BGPエニーキャスト技術でソースIPを隠すと同時に、脅威インテリジェンス・プラットフォーム（Spamhaus、CiscoTalosなど）と連携してボットネットIPを特定し、攻撃元を事前にブロックします。

プロトコルの最適化と状態検出：SYNフラッドに対応するため、TCPSYNクッキー技術を有効にし、3段階のハンドシェイクの間にクライアントの正当性を検証することで、サーバーの接続リソースの占有を回避します；

DNSFloodについては、DNSファイアウォール（PowerDNSRecursorなど）を導入し、無効なドメイン名解決要求をフィルターする。

3.CCアタック・ターゲット・ディフェンス

人間とロボットの識別と行動検証：アクセス頻度の高いページ（ログインや決済など）でCAPTCHA（GooglereCAPTCHA、Extreme Verification Slide Verificationなど）を強制的に発動させ、マウスの動きの軌跡やクリック頻度などの特徴を分析することで人間とロボットを区別する。

インテリジェントな速度制限とURLアクセス制御：単一IPのリクエスト頻度（例：1分間に100回）にしきい値を設定し、それを超えると一時的にブロックする。コアURL（例：/api/order）のリファラーチェックとIPホワイトリストを有効にして、ビジネスシナリオ以外のアクセスを制限する。

ウェブアプリケーションファイアウォール（WAF）：異常なリクエストをブロックするためのカスタムルールを持つWAF（ModSecurity、AWSWAFなど）を導入する。

例

  • 同一IPが10秒間に5回以上フォームを送信することを禁止する；
  • SQLインジェクションのペイロードを含むHTTPリクエストを特定し、ブロックする。

事例：あるゲーム会社は、「AI行動分析＋WAFルール」でCC攻撃を防御し、単一IPのリクエスト頻度閾値を200回/分に設定し、「ロール作成」インターフェースの動的認証コードを有効にしたところ、攻撃中のインターフェース応答レイテンシが500msから80msに低下した。攻撃中、インターフェイスの応答は500msから80msに短縮され、ユーザーからの苦情件数は90%減少した。

IV.企業防衛ソリューションの選択

中小規模のチーム：軽量なクラウド保護ソリューション

クラウドCDNは、DDoSクリーニングとCCプロテクション（CloudflarePro、CDN5の高防御IPなど）が統合されており、基本パッケージは10-50Gbpsのプロテクションをサポートし、月額料金は約50-200ドルで、ブログや中小規模のeコマースサイトに適しています。

メリット：すぐに使える、ハードウェアを自作する必要がない。デメリット：複雑なシナリオでは、追加の設定ルールが必要になる。

中・大企業：ローカル・ハードウェア＋クラウド・サービスのハイブリッド・アーキテクチャ

DDoS浄化装置（Huawei AntiDDoSなど）をローカルに配備し、以下を組み合わせる。CDN07クラウドベースの交通清掃は、「ローカル清掃＋クラウドバックアップ」の立体的な防御を形成する。

長所：高度なカスタマイズが可能で、金融、政府、その他データのローカライズに対する要求が高い業界に適している。短所：初期投資コストが高い（ハードウェア購入＋運用・保守チーム）。

新興産業（ブロックチェーン、越境EC）：匿名化保護ソリューション

暗号通貨決済のサポート、匿名でのアクセスを選択する。DDoS対策CDN(CDN07など）により、攻撃から守りながらビジネスのプライバシーを保護し、ファイリングや実名要件によるコンプライアンス・リスクを回避する。

V. 守備の本質は "敵を知ること"

DDoS攻撃やCC攻撃の技術的進化は、オープンソースのツールを使って攻撃を開始した初期のスクリプト・キディから、AIを使って防御を回避する変種リクエストを生成する今日のハッカー組織まで、止まるところを知りません。企業は、「監視-分析-対応-最適化」のクローズド・ループ・システムを確立する必要がある：
トラフィックモニタリングツール（Prometheus、Grafanaなど）による異常のリアルタイム洞察；

定期的な攻撃・防御訓練を実施する（例：DDoS攻撃をシミュレートし、帯域幅の冗長能力をテストする）；

業界の脅威レポート（アカマイのインターネット・セキュリティ・レポートなど）に目を配り、保護ルールを常に最新の状態に保つ。

ネットワーク・セキュリティに「銀の弾丸」は存在しないが、攻撃の原理を理解し、適切なソリューションを選択し、防御戦略を継続的に最適化することで、企業は「トラフィック戦争」において十分に優位に立つことができる。結局のところ、真のセキュリティはリスクを明確に認識することから始まる。

タグ

45 Comments

コメントを残す

メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です