DDoS攻撃

DDoS (分散型サービス拒否) 攻撃とは

• SYNフラッド (レイヤー4): SYNフラッドは、大量のSYN要求を標的に送信しながらハンドシェイクを完了しないことで、TCPのハンドシェイクプロセスを標的にします。これにより、複数の不完全な接続が保留されてサーバーのメモリリソースが枯渇し、最終的には新たな接続がブロックされます。
  
  通常、TCP接続を確立するには、クライアントがサーバーにSYN要求を送信し、サーバーがSYN-ACK要求を返してこれを確認すると、クライアントがACKで応答して接続を確立します。SYNフラッド攻撃の場合、攻撃者は送信元IPアドレスを偽装しながらSYN要求でサーバーに負荷をかけるため、サーバーはクライアントにSYN-ACK応答を返すことができなくなります。
• Ping of Death (レイヤー3): Ping of Deathは、IPプロトコルで定義された上限サイズを超える特大のICMPパケットを送信します。標的がパケットを再構成しようとすると、データサイズが異常に大きいためにクラッシュまたはフリーズし、サービスが中断する場合があります。
• スマーフ攻撃 (レイヤー3): スマーフ攻撃では、攻撃者が偽装されたICMP要求をブロードキャストアドレスに送信すると、ネットワーク上の複数のデバイスが偽装アドレスに応答するようになります。標的に大量のICMP応答が送りつけられ、ネットワークに過剰な負荷がかかます。
• IPスプーフィング (レイヤー3および4): IPスプーフィングは、パケットの送信元IPアドレスを偽装して、攻撃トラフィックが正規の送信元または信頼できる送信元から送信されているように見せかけます。IPスプーフィングは、他のプロトコルベースの攻撃の効果を高めることも多く、真の攻撃元を特定してブロックすることが困難になります。

HPE Aruba Networking SASEは、セキュアなEdgeConnect SD-WANを通じて機械学習を活用し、現在のネットワーク挙動に基づいてDoSしきい値をリアルタイムで動的に調整します。このアダプティブDDoS機能には、防御管理を強化する2つのコア機能 (自動レート制限とスマートバースト) が含まれています。自動レート制限では、機械学習によるネットワークパターンの分析に基づいてトラフィックの最小しきい値を設定します。スマートバーストでは、未使用のフロー容量をファイアウォールのゾーン全体に分散することで、正規のトラフィックバーストに対応し、悪意のあるトラフィックによるネットワーク帯域幅の使用を制限します。これらの機能を組み合わせることで、悪意のあるトラフィックによる障害を回避しつつ、ビジネスクリティカルなアプリケーションのスムーズな運用を維持できます。

また、このソリューションが提供するさまざまなリアルタイム分析およびレポートツールにより、管理者はしきい値違反を監視し、主なトラフィックソースを確認し、DDoSイベントを分析することができます。こうした可視化により、ネットワークチームでは十分な情報に基づいた調整が可能になり、新たな脅威に対応したネットワークセキュリティを維持できます。EdgeConnect SD-WANに組み込まれた次世代ファイアウォールは、IDS/IPSやロールベースのセグメンテーションなどの機能によってネットワークの保護を強化します。IDS/IPSで攻撃パターンを検知し、セグメンテーションでネットワーク内のラテラルムーブメントを制限します。 

HPE Aruba Networking ZTNAは、「決して信頼せず、必ず確認する」というアプローチに従い、内部サービスをインターネットで非公開にすることで、DDoS攻撃の侵入地点を排除します。認証済みの正規デバイスだけが特定のリソースにアクセスできるため、攻撃者がサービスを直接標的にすることは不可能になります。VPNとは異なり、広範なアクセスを許可しないZTNAでは、アプリケーションのセグメンテーションにより、承認済みリソースに厳密かつ一意の接続を適用することで、攻撃対象領域を減らして脅威を封じ込めます。HPE Aruba Networking ZTNAは、常にアイデンティティを確認することで、正規トラフィックのみが承認済みアプリケーションに到達できるようにし、ネットワークリソースが過負荷状態になるリスクを最小限に抑えて、大規模な攻撃の実行可能性を低減します。

HPE Aruba Networking SASEには、SD-WANとZTNAに加えて、Webベースの脅威からユーザーとデバイスを保護するSWG (セキュアWebゲートウェイ) と、使用状況を監視してデータロスを回避し、SaaSアプリケーションへのアクセスを保護するCASB (クラウドアクセスセキュリティブローカー) が組み込まれています。

HPE Aruba Networking SASEでは、これらのテクノロジーを統合して多層型のDDoS対策を実現しており、組織がネットワークの完全性とセキュアなビジネス運用を維持しながらDDoS攻撃の影響を軽減するうえで役立ちます。