DDoS 緩和.

DDoS 緩和は 3 つのレイヤの攻撃に対処します。Gbps または Tbps で測られるボリューム型フラッド(UDP と反射増幅)、コネクション状態を枯渇させるプロトコル攻撃(SYN flood、slowloris)、そして 1 秒あたりのリクエスト数で測られる、HTTP/HTTPS や API を狙う**アプリケーション層(L7)**攻撃です。Cloudflare、Akamai、Google、AWS Shield、Imperva などの現代的なプロバイダは、世界中に分散した Anycast スクラビングセンターでトラフィックを終端し、シグネチャ・挙動・レートに基づくフィルタと、L7 向けの JavaScript またはプルーフ・オブ・ワーク(PoW)チャレンジを適用します。ISP や大企業にとっては、オンプレ機器や BGP flowspec、Remotely Triggered Black Hole(RTBH)ルーティングも依然として重要です。

過去の記録的インシデントは、規模と自動化が重要である理由を示しています。2018 年 2 月、GitHub は 1.35 Tbps の memcached リフレクションフラッド(UDP ポート 11211、増幅率は最大で約 51,000 倍)を、数分以内に Akamai Prolexic へトラフィックを再ルーティングすることで吸収しました。2023 年 10 月には AWS、Cloudflare、Google が共同で HTTP/2 Rapid Reset の手法(CVE-2023-44487、CVSS 7.5)を開示しました。これはストリーム多重化を悪用し、リクエストを開いては即座にキャンセルするもので、Google はわずか約 20,000 台のボットネットによる、毎秒 3 億 9,800 万リクエストという記録的な攻撃を緩和しました。これらの攻撃は数秒でピークに達するため、実効性ある緩和は、常時稼働のスクラビング、テレメトリのベースライン、調整されたレート制限、ランブック、事前に取り決めたバーストキャパシティに依存します。防御は攻撃が始まる前に整えておくべきであり、攻撃中に立ち上げるものではありません。

flowchart LR
  A[ボットネットまたはリフレクタ] -->|攻撃トラフィック| B{Anycast エッジ}
  C[正規ユーザー] -->|正常トラフィック| B
  B --> D[ボリューム型フィルタ レートとシグネチャ]
  D --> E[プロトコル検査 SYN クッキー 状態制限]
  E --> F[L7 防御 JS または PoW チャレンジ WAF]
  F -->|スクラブ済み| G[オリジンサーバー]
  D -. 破棄またはブラックホール .-> X[(破棄)]
  F -. ボットを遮断 .-> X