DoS攻撃・DDoS攻撃とは ― SYNフラッドと増幅攻撃

Webサイトやオンラインサービスが突然つながらなくなる原因の1つが、DoS攻撃です。DoS攻撃は、サーバやネットワークに大量の通信を送りつけるなどして、正規の利用者がサービスを使えない状態にする攻撃です。DDoS攻撃は、同じことを多数の機器から同時に行う攻撃です。

DoSはDenial of Serviceの略で、日本語ではサービス妨害攻撃と呼びます。DDoSの頭のDは、分散を意味するDistributedの頭文字です。DoSとの違いは、攻撃の送信元が1台か多数かです。

目的は、データを盗んだり書き換えたりすることではなく、サービスを使えなくすることです。情報セキュリティの3要素でいえば、可用性を狙う攻撃にあたります。標的の機器に侵入せず、通信を送るだけで成り立つ攻撃が多いのも特徴です。そのため、不正アクセスへの備えであるID・パスワードの管理だけでは防げません。

DoS攻撃は、人の心理的な隙を突くソーシャルエンジニアリングや標的型攻撃とも違います。狙うのは、通信の決まり（プロトコル）の仕組みそのものです。

DoS攻撃の攻撃元は1台です。1台の機器から標的へ通信を送り続け、標的の処理能力や回線を使い切らせます。

DDoS攻撃の攻撃元は多数の機器です。攻撃者は、ウイルスなどで多数の機器を乗っ取り、指令を出して一斉に通信を送らせます。乗っ取られた機器の集まりをボットネットと呼び、その中の1台1台をボットと呼びます。機器の乗っ取りに使うマルウェアの種類は、マルウェアの種類の記事で説明しています。

DDoSでは、標的に集まる通信が増えます。通信が多数の送信元から来るため、攻撃元を1つずつ止める方法も効きにくくなります。攻撃の本当の出どころも、見つけにくくなります。

乗っ取られた機器の持ち主も、被害者です。自分の機器が攻撃に使われていることに、気づかない場合があります。

DoS攻撃は、標的が持つ資源のどれかを使い切らせます。使い切らせる資源で分けると、手口の違いが見えやすくなります。

インターネットの技術文書RFC 4732は、アプリケーションが使い切らされる資源を挙げています。メモリ・CPU・ディスク・プロセス数・同時接続数の上限です。資源によって、攻撃が止まったあとの回復の様子も違います。CPUは攻撃が止まれば空きますが、ディスクの空きは、消す処理をしないと戻りません。

次の2つの節では、表の「回線の帯域」と「メモリ」を使い切らせる代表的な手口を説明します。メモリを狙うSYNフラッドは、帯域を埋める攻撃より少ないパケットで済みます。帯域を狙う手口には、通信を何倍にも膨らませる増幅攻撃があります。

SYNフラッドは、SYNだけを大量に送り、サーバの接続の待ち枠を使い切らせる攻撃です。TCPは、3ウェイハンドシェイクという3回のやりとりで接続を始めます。SYNフラッドは、最初のSYNだけを送り、最後のACKを返さないことで成り立ちます。

サーバは、SYNを受けると、その接続の情報を覚えてからSYN+ACKを返します。最後のACKが届くまでのこの状態を、半開き接続と呼びます。多くのOSは、覚えておける半開き接続の数に上限を設けています。

この上限が埋まると、新しいSYNは無視されるか、未完了の接続が置き換えられます。どちらになるかはOSによって違います。正規のクライアントのSYNも、同じ扱いを受けます。

攻撃者は、送信元アドレスを偽装することが多いです。この場合、サーバのSYN+ACKは偽装された送信元へ届きます。そのアドレスの持ち主も、巻き添えの被害を受けます。

偽装した送信元が動いている機器だと、接続を断るRSTが返り、枠はすぐに空きます。そのため攻撃者は、SYN+ACKに何も返さないアドレスを送信元に選びます。次の図で、受付表が埋まる様子を1段ずつ確かめられます。

待ち時間を短くして枠を早く空ける方法もありますが、攻撃者が送る頻度を上げれば効果は薄れます。一方、SYNクッキーという方法は、そもそも枠を使いません。接続の情報を、SYN+ACKのシーケンス番号に埋め込むからです。このため、SYNフラッドへの代表的な対策になっています。

ただし、SYNクッキーはTCPの一部の機能と両立しない場合があります。そのためRFC 4987は、SYNクッキーを初期設定では有効にしないよう勧めています。

増幅攻撃は、小さな要求を送り、標的に向けて大きな応答を返させる攻撃です。応答を返す側のサーバを、反射サーバと呼びます。増幅攻撃を反射攻撃と呼ぶこともあります。

攻撃者は、要求の送信元アドレスを標的のアドレスに書き換えます。反射サーバは、要求の送信元に応答を返すので、応答は標的へ届きます。

この手口は、送信元アドレスを偽装できる攻撃者にしか使えません。送信元を確かめるやりとりを挟まないUDPのサービスは、偽装された要求にも応答してしまいます。DNSは、その代表例です。

応答が要求の何倍になるかを、増幅率と呼びます。アメリカのサイバーセキュリティ機関CISAは、帯域増幅率を表にまとめています。帯域増幅率は、応答のデータ部分（UDPペイロード）のバイト数を、要求のバイト数で割った値です。

たとえば増幅率が28倍のサービスに10Mbps分の要求を送ると、単純計算で280Mbps分の応答が標的へ向かいます。攻撃者の回線が細くても、標的には大量の通信が届きます。

TCPのSYN+ACKの再送を使う増幅もあります。この場合も、偽装した送信元から反射サーバへSYNを送り、返ってくるSYN+ACKが標的へ向かいます。標的からRSTも最後のACKも返らないと、反射サーバはSYN+ACKを何度か再送します。その分だけ、標的に届く通信が増えます。

対策は、狙われる資源と手口ごとに変わります。次の表は、ここまでの攻撃と対策の対応です。

送信元の偽装を遮断する対策は、BCP 38として知られるRFC 2827が定めています。ISPなどが、割り当てた範囲に無い送信元アドレスのパケットを捨てる方法です。ただし、正当なアドレスから送られる攻撃や、乗っ取られた多数の機器からの攻撃には効きません。世界中で導入される保証もないので、受ける側がこの対策だけに頼ることはできません。

ファイアウォールは、通す通信を絞る仕組みです。SYNフラッドでは、ファイアウォールが接続の完了まで手前で受ける使い方もあります。ただし、DDoSの通信は多数の送信元から来るので、正規の通信と見分けにくくなります。送信元や宛先ポートの絞り込みだけでは、防ぎきれません。通信の流れがふだんと違うことから攻撃を見つけるには、IDSやIPSを使います。

急に増えた正規のアクセスと、巧妙なDoS攻撃は、原理的には区別できません。そのためRFC 4732は、最初の防衛線として、予想できるピークに耐える容量を用意することを挙げています。容量が足りないサイトは、最も落としやすい標的です。

もう1つの考え方は、サービスの提供拠点を分散することです。拠点が複数あれば、全体を攻撃するのが難しくなります。

ロードバランサは、複数のサーバに処理を振り分けます。CDNは、世界中のエッジサーバでコンテンツを配ります。どちらも、1か所に通信が集中しない形を作る仕組みです。クラウドでは、AWS WAFとShieldのような防御サービスも使えます。

• RFC 4987 TCP SYN Flooding Attacks and Common Mitigations（SYNフラッドの仕組みとSYNクッキー）
• RFC 4732 Internet Denial-of-Service Considerations（DoS・DDoSの定義、増幅攻撃、対策の考え方）
• RFC 2827 Network Ingress Filtering（送信元アドレス偽装の遮断）
• CISA UDP-Based Amplification Attacks（サービスごとの増幅率）
• CISA Understanding Denial-of-Service Attacks（DDoSとボットネット）