DRDoS攻撃(ディーアールディーオーエスこうげき)とは | 意味や読み方など丁寧でわかりやすい用語解説

DRDoS攻撃とは、分散型サービス拒否攻撃（DDoS攻撃）の一種であり、特に「反射（Reflection）」と「増幅（Amplification）」という特性を悪用して標的システムに過大な負荷をかけ、正常なサービス提供を妨害するサイバー攻撃の手法を指す。この攻撃の目的は、標的のWebサイトやオンラインサービス、ネットワークインフラをダウンさせ、利用者からのアクセスを不能にすることにある。攻撃者は、標的のIPアドレスを偽装（IPスプーフィング）した上で、インターネット上に存在する多数の正規のサーバー（リフレクターと呼ばれる）に対して短いリクエストを送信する。これらのリフレクターは、偽装されたIPアドレスを本来の送信元と誤認し、そのIPアドレス、つまり標的に対して大量の応答を返す。これにより、標的は自身が意図しないトラフィックの洪水に見舞われ、サービスが停止状態に陥る。

DRDoS攻撃の仕組みは、大きく分けて「IPアドレスの偽装」、「反射の利用」、「増幅の悪用」、「分散の活用」という要素で構成される。まず、攻撃者は標的のIPアドレスを送信元IPアドレスとして偽装したパケットを生成する。この偽装パケットは、DNSサーバー、NTPサーバー、Memcachedサーバー、SSDPサーバーなど、インターネット上に公開されており、かつ特定のプロトコルを処理する多数のサーバー群、すなわちリフレクターに送信される。これらのプロトコルは、多くの場合UDP（User Datagram Protocol）を使用しており、送信元IPアドレスの正当性を確認しないため、IPアドレスの偽装が容易に行われる。

次に、リフレクターは偽装されたIPアドレスを送信元とするリクエストを受信すると、そのリクエストに対する応答を、偽装されたIPアドレス、すなわち標的のシステムに対して返送する。これが「反射」の原理である。攻撃者は直接標的を攻撃するのではなく、中継地点であるリフレクターを介して攻撃を行うため、自身の正体を隠蔽しやすいという特徴がある。さらに、この攻撃の悪質性を高めるのが「増幅」という要素である。増幅とは、攻撃者がリフレクターに送る比較的短いリクエストに対し、リフレクターが標的へ返す応答が、リクエストに比べて著しく大きいサイズになる現象を指す。例えば、DNSリフレクション攻撃では、非常に短いDNSクエリでDNSゾーン全体に関する情報が返される場合があり、数倍から数百倍、時には数万倍ものデータ量の増幅が確認されることがある。NTP、Memcached、SSDPなども同様に、効率的な増幅が可能であるため、DRDoS攻撃に悪用されやすいプロトコルとして知られている。

そして、「分散」は、単一のリフレクターだけでなく、インターネット上に存在する無数のリフレクターを同時に利用することで、攻撃トラフィックをさらに大規模化させる要素である。攻撃者は、マルウェアに感染した多数のコンピュータ（ボットネット）を利用して、これらのボットからそれぞれ複数のリフレクターに対して偽装パケットを送信することが多い。これにより、攻撃トラフィックは膨大な数に膨れ上がり、標的システムへの影響は壊滅的なものとなる。攻撃トラフィックは世界中の様々なリフレクターから標的へ向けて一斉に送信されるため、単一の送信元からの攻撃と比較して、標的側での防御が非常に困難となる。

DRDoS攻撃の対策としては、いくつかの段階が考えられる。まず、攻撃の標的となるシステムを運用する側では、DDoS対策サービス（スクラビングセンターやCDNなど）の導入が有効である。これらのサービスは、大量の不正トラフィックを検出し、フィルタリングして正規のトラフィックのみを標的システムに転送することで、サービスの可用性を維持する。また、WAF（Web Application Firewall）やIDS/IPS（侵入検知システム/侵入防止システム）を導入し、異常なトラフィックパターンを検知して遮断する対策も重要である。ネットワークインフラの冗長化や帯域幅の増強も、突発的なトラフィック増大への耐性を高める上で役立つ。

一方、DRDoS攻撃のリフレクターとして悪用される可能性のあるサーバーを運用する側、あるいはインターネットサービスプロバイダ（ISP）側での対策も非常に重要である。最も基本的な対策の一つは、送信元IPアドレスの偽装を防ぐためのエグレスフィルタリング（BCP38/RFC2827）の実装である。これは、自社のネットワークから外部へ送信されるパケットの送信元IPアドレスが、自社の管理するIPアドレス範囲外のものである場合に、そのパケットを破棄するフィルタリングである。これにより、攻撃者が自社のネットワークを経由してIPアドレスを偽装することを防ぎ、DRDoS攻撃の発生源の一つとなることを防げる。また、不要なネットワークサービス（DNSリゾルバ、NTPサービス、Memcachedなど）を停止するか、外部からのアクセスを厳しく制限することも、リフレクターとなるリスクを低減する上で不可欠である。DNSSECのようなセキュアなプロトコルの採用や、サーバーソフトウェアの定期的な更新も、既知の脆弱性を悪用されるリスクを減らすために重要となる。これらの多角的な対策によって、DRDoS攻撃のリスクを低減し、安全なインターネット環境の維持に貢献することが求められる。