DoS攻撃防御製品の仕組みと特徴：DoS攻撃の手法と対策（後編）（1/3 ページ）

» 2005年04月14日 10時00分公開

　前編にて詳述したDoSアタックへの対策については、従来ルータにパケットフィルタリングを細かく設定して防御するか、サーバ、ルータ、ファイアウォールなどのログを常時監視するぐらいしか有効な対抗手段がなかった（その場合、当然ルータやファイアウォールの負荷が高くなってしまい、ここでも性能的な問題に突き当たる）。

　そこで近年DoSアタック防御を専門とする製品群（DoS Mitigationと呼ぶ場合もある）が登場し、より高速かつ確実にDoSアタックからサーバやコンテンツ、サービスを保護することが可能になっている。今回は、これらDoS防御製品群が実装している防御技術とその特徴を説明し、それぞれがどのようなアタックに対して有効なのかを考えてみたい。

シグニチャベース防御

　ネットワークリソースへの不正侵入を検出する製品としてIDS（Intrusion Detection System）と呼ばれるカテゴリの製品群がある。IDSではあらかじめ不正侵入の通信で使われるパケットのデータパターンを定義しておき、そのデータパターンに合致するかどうかで不正を検出する。このデータパターンはシグニチャ（署名）と呼ばれ、IDS以外の製品カテゴリでも一般的にシグニチャが用いられるようになった。

　DoSアタックの防御についてもこのシグニチャを用いて検出する方法が使われている。DoSアタックに使われるツールやプログラムはそのパケットの中身にいくつか特徴がある。例えばランドアタックでは、ソース（送信元）IPとディスティネーション（送信先）IPが同じであるし、そのほかのフラッディングアタックに関してもTCP/IPヘッダに不正なフラグが記されているケースが多い。

図1 シグニチャのGUI

　このような攻撃を図1のビットパターンマッチングのようにシグニチャとして登録し、パケット単位で検査するのがシグニチャベースの防御方法だ。シグニチャはルータのアクセスコントロールなどから比べると大幅に機能拡張されている。TCP/IPヘッダすべてをビットパターンで定義できたり、アプリケーションレベルのデータに関してもビットパターンやテキストサーチができたりするなどパケットデータの全領域にわたってフィルタリングが可能である（ディープパケットインスペクション技術と呼ぶ）。

　この防御方法の場合はパケット単位での検査・ブロックになるため、特にセッションの情報を持つ必要がなく、同時接続数などの制限がないという利点がある。だが、既知のデータパターンの場合のみ有効な手段となる点を考慮する必要がある。

しきい値（スレッシュホルド）による防御

　DoSアタックの中でも特にフラッディング系のアタックなどの場合は、パケット単位のデータには正常な通信との違いが見受けられないケースが多い。この場合、サーバにとってDoSアタックであるかどうかを見分けるためには、その通信量で判定するしか方法がない。それ故、単位時間当たりのしきい値による防御方法が用いられる。