DDoS攻撃とは？

DDoS攻撃の意味

多数の踏み台（ボットネット）や反射サーバを用いて、標的のサービスを停止させる分散型のサービス妨害攻撃。帯域を埋める容量枯渇型、プロトコル資源を枯渇させる型、アプリ層で重い処理を狙う型があり、これらを同時に仕掛けるものをマルチベクトル型と呼ぶ。

DDoS攻撃の具体例

MiraiはIoT機器の初期パスワードを悪用して感染を広げ、C&Cサーバの指令で大規模DDoSを行った。

DDoS攻撃は試験でどう引っ掛けられる？

「DDoSは帯域を埋める攻撃」と決めつけない。SYN Floodは帯域ではなく接続管理テーブル（半開き接続）を枯渇させる型、HTTP Floodは正規の見た目のリクエストでアプリの処理資源を奪う型で、対策も帯域増強では効かない。またリフレクション（反射）型は送信元IPを標的に詐称して第三者サーバに応答させる点が、単に踏み台から直接送るボットネット型と異なる。

DDoS攻撃と関連する用語

• ボットネット
• DNSリフレクション攻撃
• C&Cサーバ

DDoS攻撃が出た過去問

• マルチベクトル型DDoS攻撃に該当するものはどれか。

  正解：攻撃対象のWebサーバ1台に対して,多数のPCから一斉にリクエストを送ってサーバのリソースを枯渇させる攻撃と,大量のDNS通信によってネットワークの帯域を消費させる攻撃を同時に行う。

  要点：複数の異なる攻撃手法を同時に仕掛けるDDoS

  マルチベクトル型DDoS攻撃は、性質の異なる複数の攻撃手法を同時に、あるいは切り替えながら仕掛けるDDoSです。サーバの資源を狙う攻撃と回線帯域を狙う攻撃を併用されると、単一の対策では防ぎきれません。

  出典：平成30年度 秋期 情報処理安全確保支援士試験 am2 問4（IPA）

• UDPの性質を悪用したDDoS攻撃に該当するものはどれか。

  正解：DNSリフレクタ攻撃

  要点：UDPの詐称容易性を悪用した反射増幅型DDoS

  UDPはコネクションを確立しないため送信元IPアドレスの詐称が容易で、小さな要求に大きな応答が返るサービスと組み合わせると増幅型のDDoSが成立します。DNSリフレクタ攻撃はその代表で、詐称した問合せの応答を標的へ集中させます。

  出典：平成30年度 秋期 情報処理安全確保支援士試験 am2 問7（IPA）

• マルウェアMiraiの動作はどれか。

  正解：ランダムなIPアドレスを生成してtelnetポートにログインを試行し,工場出荷時の弱いパスワードを使っているIoT機器などに感染を広げるとともに,C&Cサーバからの指令に従って標的に対してDDoS攻撃を行う。

  要点：Miraiは初期パスワードのIoT機器を乗っ取りDDoS

  MiraiはIoT機器を狙うマルウェアで、無作為に生成したIPアドレスへtelnetで接続を試み、初期設定のままの弱い認証情報を持つ機器に侵入して感染を広げます。感染機器はボットネットを形成し、C&Cサーバからの指令で大規模なDDoS攻撃を行います。

  出典：平成30年度 秋期 情報処理安全確保支援士試験 am2 問11（IPA）

• マルチベクトル型DDoS攻撃に該当するものはどれか。

  正解：Webサイトに対して、SYN Flood攻撃とHTTP POST Flood攻撃を同時に行う。

  要点：複数種類の攻撃を同時に仕掛けるのがマルチベクトル型DDoS

  マルチベクトル型DDoS攻撃とは、性質の異なる複数の攻撃手法（攻撃ベクトル）を同時または連続的に組み合わせて仕掛けるDDoS攻撃を指す。単一手法向けの防御では受けきれず、対策側は複数レイヤでの検知・緩和を同時に行う必要がある点が厄介である。

  出典：令和1年度 秋期 情報処理安全確保支援士試験 am2 問13（IPA）

• マルウェアMiraiの動作はどれか。

  正解：ランダムな宛先IPアドレスを使用してIoT機器などに感染を広げるとともに、C&Cサーバからの指令に従って標的に対してDDoS攻撃を行う。

  要点：MiraiはIoT機器を弱い認証で乗っ取りDDoSのボット網を作る

  MiraiはIoT機器を標的とするボット型マルウェアで、無作為に生成した宛先へTelnetなどで接続を試み、初期設定のままの認証情報を使って侵入し感染を広げる。感染機器はC&Cサーバの指令を待ち、命令に従って標的へ大量のトラフィックを送るDDoS攻撃に加担する。ソースコードが公開されたため多数の亜種が生まれ、対策としては初期パスワードの変更と不要な管理サービスの停止が基本となる。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問6（IPA）