🔰NTTドコモ・gooサービス障害――ハッカーは「店の入口」を埋め尽くす🔯ミカと教授のサイバーセキュリテイ🖥️第13回

【DDoS攻撃――「侵入しなくても、店の入口を客で埋めれば営業を止められる」】

ミカ「教授、これまでのハッカーは、パスワードを盗んだり、サーバーへ侵入したりしていましたね」
教授「そうだったな」
ミカ「DDoS攻撃では何を盗むのですか」
教授「何も盗まなくてもよい」
ミカ「では、サーバーへ侵入する？」
教授「それもしなくてよい」
ミカ「では何をするのです？」
教授「店の入口を客で埋め尽くす」
ミカ「人気店ですね」
教授「違う。誰も買い物をする気がない」
ミカ「最悪の行列ですね」
教授「それが今日のDDoS攻撃だ」

【これは何を狙う攻撃なのか】

ミカ「DDoSとは何の略ですか」
教授「Distributed Denial of Service。日本語では分散型サービス拒否攻撃などと呼ばれる」
ミカ「サービスを拒否する？」
教授「正確には、サーバーやネットワークへ大量の通信を集中させ、正規の利用者がサービスを利用できない状態にする攻撃だ」
ミカ「Webサイトを壊すのではない？」
教授「壊さなくても、つながらなければ利用者にとっては同じように困る」
ミカ「ネットショップなら商品を買えない」
教授「予約サイトなら予約できない」
ミカ「クラウドなら仕事ができない」
教授「そうだ。IPAも、DDoS攻撃では多数の分散したコンピューターから特定のサーバーへ大量の通信を送り、サービス提供を妨害する手法を説明している。(独立行政法人 情報処理推進機構)」
ミカ「ハッカーは金庫へ入らず、店の前を封鎖する」
教授「今日の本質だ」

【DoSとDDoSは何が違うのか】

ミカ「DDoSの前にDoSという言葉もありますよね」
教授「ある。DoSはDenial of Serviceだ」
ミカ「違いはDの一文字？」
教授「最初のD、Distributedが重要だ」
ミカ「分散？」
教授「DoSなら一つの攻撃元から大量の要求を送る形を考えられる」
ミカ「その一台を遮断すればよい？」
教授「単純な場合にはそう考えられる。しかしDDoSでは、多数の場所から通信が押し寄せる」
ミカ「1000台、1万台というように？」
教授「規模は攻撃によってさまざまだが、多数の機器が利用されることがある」
ミカ「一つの住所から来る迷惑客なら出入り禁止にできる。でも全国から一人ずつ来たら難しい」
教授「そのとおり。NTTドコモビジネスも、DDoSでは複数のコンピューターから大量のデータを一斉送信するため、正常な通信と不正な通信の見分けが難しく、自社だけでの対策が難しいとしている。(NTT)」

【なぜ成立するのか】

ミカ「でもWebサーバーは、たくさんのお客様が来るために作られているのでしょう？」
教授「もちろんだ。しかし処理能力は無限ではない」
ミカ「サーバーにも定員がありますか」
教授「CPU、メモリ、同時接続数、ネットワーク帯域など、どれにも限界がある」
ミカ「高速道路と同じですね」
教授「四車線道路へ100台来れば流れる。しかし100万台が同時に来れば？」
ミカ「料金所の前から大渋滞です」
教授「正規利用者の車まで入れなくなる」
ミカ「サーバーが故障していなくてもサービスは停止する」
教授「そうだ。DDoSは『壊す』より『使わせない』攻撃と考えると分かりやすい」

【攻撃者は何万台ものパソコンを持っているのか】

ミカ「でも教授、攻撃者は大量のパソコンを買わなければならないのですか」
教授「そこにボットネットというものが登場する」
ミカ「第88回候補にあった言葉ですね」
教授「マルウェアなどによって乗っ取られた多数のパソコンやIoT機器を、攻撃者が遠隔から利用するネットワークだ」
ミカ「本人は、自分の機器が攻撃に参加していることを知らない？」
教授「そういう場合がある」
ミカ「では、会社のWebサイトを攻撃している一台が、普通の家庭の防犯カメラかもしれない」
教授「可能性としてはそういう世界だ」
ミカ「防犯カメラが攻撃側とは、職務放棄ですね」
教授「初期パスワードを変更されず放置されたIoT機器などが悪用される問題もある」
ミカ「つまりDDoS対策は、攻撃される会社だけの問題でもない」
教授「そうだ。自分の機器を乗っ取らせないことも、インターネット全体の防御につながる」

【身近な例に置き換える】

ミカ「今回もお店で説明してください」
教授「人気ラーメン店を想像しよう」
ミカ「また食べ物ですね」
教授「店内には30席ある」
ミカ「昼なら行列ができます」
教授「ところが嫌がらせをする人が、1万人へ『この店へ行って、入口でメニューだけ見て帰ってくれ』と頼んだ」
ミカ「1万人が入口へ？」
教授「本当のお客はどうなる？」
ミカ「店に近づけません」
教授「店員は？」
ミカ「注文しない客への対応だけで手いっぱい」
教授「売上は？」
ミカ「落ちます」
教授「店そのものは壊されていない」
ミカ「ラーメンもあります」
教授「店員もいる」
ミカ「でも営業できない」
教授「それがDDoS攻撃だ」
ミカ「警察が一人追い返しても、後ろに9999人」
教授「分散型が厄介な理由だ」

【日本企業の実例――NTTドコモ】

ミカ「日本企業でも実際に起きていますか」
教授「もちろんだ。比較的新しい分かりやすい例がNTTドコモだ」
ミカ「ドコモがDDoS攻撃を受けたのですか」
教授「2025年1月2日、NTTドコモは午前5時27分ごろから、gooサービスやドコモの一部サービスが利用しづらくなる障害を公表した」
ミカ「原因は？」
教授「公式発表で、DDoS攻撃によるネットワーク輻輳と明記されている。(ドコモ)」
ミカ「ネットワーク輻輳というのは？」
教授「大量の通信によってネットワークが混雑することだ」
ミカ「高速道路の大渋滞ですね」
教授「そうだ」

【どのサービスに影響したのか】

ミカ「gooだけですか」
教授「公表時点では、gooサービス全般に加えて、OCNトップページ、dメニューニュース、Leminoの検索機能、d払いショッピングの検索機能、GOLF meなど、複数のサービスが利用しづらくなったとされている。(ドコモ)」
ミカ「一つのWebページが重くなった程度ではないのですね」
教授「そうだ。インターネットサービスでは、共通するネットワーク基盤や周辺サービスが影響すると、複数のサービスへ波及することがある」
ミカ「ハッカーが個人情報を盗まなくても、会社は困る」
教授「そこがDDoSの経営上の怖さだ」
ミカ「利用者から見れば『サービスが使えない』」
教授「企業から見れば、機会損失、問い合わせ増加、信用低下、復旧対応などが発生する」
ミカ「何も盗まれていないから被害ゼロ、ではない」
教授「止まった時間そのものが損失になる」

【なぜ普通のアクセスと見分けにくいのか】

ミカ「攻撃者からの通信だけ全部捨てればよいのでは？」
教授「それが簡単ならDDoS対策サービスは商売にならない」
ミカ「普通の通信と似ている？」
教授「攻撃の種類によるが、Webサイトへ普通のHTTPリクエストを大量に送るタイプなら、一件だけ見れば正規の利用者と似ていることもある」
ミカ「『トップページを見せてください』」
教授「一件なら普通だ」
ミカ「それが100万件」
教授「問題になる」
ミカ「では同じIPアドレスから来るものだけ止める」
教授「攻撃元が多数に分散していたら？」
ミカ「全部違います」
教授「さらに、本当のお客様まで巻き込んで遮断するとサービスを自分で止めることになる」
ミカ「攻撃者を追い出そうとして、本物の客まで店から追い出した」
教授「DDoS防御の難しさだ」

【DDoS攻撃には種類がある】

ミカ「全部『大量アクセス』で同じなのですか」
教授「大きく考えると、狙う資源によって違いがある」
ミカ「例えば？」
教授「ネットワーク回線そのものを大量通信で埋めるタイプ」
ミカ「道路を渋滞させる」
教授「サーバーやネットワーク機器の処理能力を消費させるタイプ」
ミカ「店員を忙殺する」
教授「Webアプリケーションへ大量の処理要求を送り、アプリケーション資源を消費させるタイプ」
ミカ「一人で100万品注文する」
教授「実際の仕組みはもっと複雑だが、理解としてはその三方向をイメージするとよい」
ミカ「攻撃者は、会社の一番細いところを探す」
教授「そうだ。水道管は途中に一本でも細い場所があれば、そこが全体の流量を決める」

【成立すると何が起きるか】

ミカ「サービスが遅くなるだけですか」
教授「軽度なら遅延だ。しかし負荷が大きければタイムアウトやサービス停止につながる」
ミカ「ECサイトなら？」
教授「商品が表示されない」
ミカ「予約サイトなら？」
教授「予約できない」
ミカ「会社のクラウドサービスなら？」
教授「社員が業務できない可能性がある」
ミカ「ネットバンキングなら？」
教授「利用者が取引できない」
ミカ「ネットサービスでは、『サイトが開かない』ことがそのまま休業になる」
教授「NTTドコモビジネスも、DDoSによる表示遅延やサービス停止が、機会損失、減収、信頼低下、ユーザー離れなどへつながり得るとしている。(NTT)」
ミカ「サーバーが無傷でも、売上は無傷ではない」
教授「経営者に覚えてほしい一文だ」

【DDoSを隠れみのにすることもある】

ミカ「DDoSだけ対応すればよいですか」
教授「もう一つ注意したいことがある」
ミカ「何でしょう」
教授「大きな障害が起きれば、管理者の目はそこへ集中する」
ミカ「『Webサイトが落ちた！』」
教授「その混乱の裏で別の攻撃が起きていないかも確認する必要がある」
ミカ「陽動ですか」
教授「可能性として考えるべきだ。DDoSだから情報漏えいはない、と最初から決め付けてはいけない」
ミカ「入口で100人が騒いでいる間に、裏口も確認する」
教授「その姿勢だ」

【安全な範囲で仕組みを確認する】

ミカ「今回も実際に攻撃せず、仕組みだけ黒板で確認しましょう」
教授「中央にWebサーバーを書く」
ミカ「正常時は100人の利用者がアクセスする」
教授「サーバーは十分処理できる」
ミカ「そこへ攻撃者側から大量の要求」
教授「サーバーの処理能力や通信回線の限界へ近づく」
ミカ「正規利用者の要求が待たされる」
教授「さらに増えれば？」
ミカ「タイムアウト」
教授「最終的には？」
ミカ「利用不能」
教授「これでよい」
ミカ「侵入の矢印がありませんね」
教授「そこが今日の特徴だ。攻撃成功＝侵入成功とは限らない」

【サーバーを巨大化すれば防げるのか】

ミカ「では、ものすごく大きなサーバーを買えばよいのでは？」
教授「一定の余裕は重要だ。しかし攻撃側も規模を増やせる」
ミカ「100倍強いサーバーなら？」
教授「1000倍の通信を送られたら？」
ミカ「終わりませんね」
教授「だからDDoS対策は単純な設備増強だけではない」
ミカ「では何をする？」
教授「大量トラフィックを手前で検知し、攻撃通信を除去し、正常な通信だけを通すようなDDoS緩和の仕組みを利用する」
ミカ「汚れた水を浄水場で分ける感じですか」
教授「よい例えだ。NTTドコモビジネスのDDoSプロテクションサービスも、対象トラフィックを迂回させ、正常な通信だけを設備へ流す仕組みを説明している。(NTT)」

【CDNは何をしてくれるのか】

ミカ「CDNもDDoS対策になりますか」
教授「役に立つ場合がある」
ミカ「CDNとは？」
教授「Content Delivery Network。Webコンテンツを複数の拠点から配信する仕組みだ」
ミカ「一軒の店に客を集中させず、全国に支店を作る？」
教授「非常に分かりやすい」
ミカ「東京店が混んでも大阪店で受ける」
教授「キャッシュ可能なコンテンツを分散して配信することで、オリジンサーバーへの負荷を減らせる」
ミカ「DDoS専用の防御サービスと組み合わせる」
教授「そういう多層防御が現実的だ」

【プログラマーはどう防ぐか】

ミカ「今回はネットワークの話が中心ですが、プログラマーにもできることがありますか」
教授「もちろんだ」
ミカ「何でしょう」
教授「一つのリクエストで異常に重い処理ができないようにする」
ミカ「検索一回で全データを集計するような処理？」
教授「そういう高コスト処理は攻撃対象になりやすい。キャッシュも活用する」
ミカ「同じ結果を毎回ゼロから計算しない」
教授「APIには適切なレート制限を設ける」
ミカ「一人が一秒に何万回も呼び出せないようにする」
教授「タイムアウトや同時実行数の制御も考える」
ミカ「異常なアクセスをログへ残す」
教授「そしてアプリケーションだけで守ろうとせず、CDN、WAF、ネットワーク側のDDoS対策と連携する」
ミカ「第13回はチーム戦ですね」
教授「一人のPHPプログラマーにインターネット全体を守らせてはいけない」

【プログラマーが覚えておきたい基本】

ミカ「まとめてください」
教授「八つにしよう」
・一つの要求で過剰な計算やデータ処理を行わせない
・APIなどには適切なレート制限を設ける
・キャッシュを活用し、不要な処理を減らす
・タイムアウトや同時実行数を適切に設定する
・異常なアクセス量を監視する
・CDNやWAFなどを活用する
・必要に応じて専門的なDDoS緩和サービスを利用する
・障害発生時の連絡・切り替え手順を平時から決めておく
ミカ「最後はプログラムではありませんね」
教授「DDoS攻撃中に初めて通信会社の電話番号を探してはいけない」

【経営者は何を準備するのか】

ミカ「経営者は何を考えればよいですか」
教授「まず、自社のどのサービスがインターネット停止に弱いか確認する」
ミカ「ネットショップ」
教授「予約システム」
ミカ「顧客向けクラウド」
教授「社員が使うVPN」
ミカ「全部止まったときの売上や業務への影響を考える」
教授「それが出発点だ」
ミカ「DDoS対策サービスを入れるかは、そのリスクとの比較ですね」
教授「そうだ。さらに、サービス停止時の告知手段も考えておく」
ミカ「Webサイトが落ちているのに『詳しくは当社Webサイトをご覧ください』では？」
教授「非常時の広報として満点の零点だ」
ミカ「SNSや別ドメイン、電話窓口なども用意する？」
教授「事業に応じて代替手段を検討する」

【利用者には何ができるのか】

ミカ「一般の利用者がDDoS攻撃を防ぐことはできますか」
教授「攻撃される企業側の防御はできない。しかし、自分のパソコンやIoT機器を攻撃側のボットにしないことはできる」
ミカ「ルーターの初期パスワードを変更する」
教授「ファームウェアを更新する」
ミカ「使っていない外部公開機能を止める」
教授「PCやスマート機器を更新する」
ミカ「自分の防犯カメラが他社への攻撃に参加しないようにする」
教授「そうだ。サイバーセキュリティでは、自分を守ることが他人を守ることにもなる」

【「アクセスが多い」は嬉しいことではないのか】

ミカ「社長なら『アクセスが100倍になりました』と聞いたら喜びませんか」
教授「マーケティング担当ならシャンパンを開けるかもしれない」
ミカ「セキュリティ担当は？」
教授「ログを開く」
ミカ「温度差がありますね」
教授「重要なのは、アクセス数だけではなく内容を見ることだ」
ミカ「本当に商品を見ている人なのか」
教授「同じ要求を高速で繰り返していないか」
ミカ「特定の場所から異常に集中していないか」
教授「普段のアクセスパターンと違わないか」
ミカ「売上ゼロなのにアクセスだけ100倍なら？」
教授「マーケティング担当もシャンパンを冷蔵庫へ戻したほうがよい」

【NTTドコモの事例が教えること】

ミカ「NTTドコモの2025年の事例から、何を学べばよいでしょう」
教授「まず、DDoSは教科書だけの昔の攻撃ではないことだ」
ミカ「2025年にも実際にサービス障害が起きた」
教授「そうだ。NTTドコモはDDoS攻撃によるネットワーク輻輳を原因として、gooや複数のドコモ関連サービスが利用しづらくなったと公表している。(ドコモ)」
ミカ「もう一つは？」
教授「情報を盗まれなくても、可用性を奪われること自体が重大なセキュリティ事故だということだ」
ミカ「可用性？」
教授「使いたいときにシステムを使えることだ」
ミカ「機密性だけ守ればいいわけではない」
教授「情報セキュリティでは、機密性・完全性・可用性という三つの視点が重要だ」
ミカ「DDoSは、その可用性を狙う攻撃ですね」
教授「そのとおりだ」

【ミカと教授の一言で締める】

ミカ「教授、DDoS攻撃を一言で説明してください」
教授「多数の機器から大量の通信を送り付け、正規利用者がサービスを利用できない状態にする攻撃だ」
ミカ「侵入しなくてもいい」
教授「パスワードも盗まなくてよい」
ミカ「何も壊さなくても？」
教授「入口を埋めれば営業は止められる」
ミカ「防御の基本は？」
教授「大量通信を早く検知し、攻撃通信を手前で減らし、正常な利用者を通す」
ミカ「そして止まった場合にも備える」
教授「そうだ」
ミカ「教授、今日の教室に100万人の学生がアクセスしてきたら？」
教授「授業を中止する」
ミカ「DDoS成功ですね」
教授「いや、授業料を全員が払っているなら大学経営としては大成功だ」

【次回予告】

【第14回　DNSハイジャック――「正しいURLを入力したのに、なぜ偽サイトへ連れて行かれるのか」】

ミカ「次は偽サイトですか」
教授「ただし、利用者は正しいURLを入力している」
ミカ「正しく入力したのに間違った場所へ？」
教授「インターネットの住所案内が書き換えられたらどうなると思う？」
ミカ「教授、今度はカーナビまで信用できなくなるのですね」
教授「第14回は、インターネットの住所録を狙う攻撃だ」