Tweet
Tweet

Slide 1

Slide 1 text

　DDoS対策~監視、分析、対策~ 3社に聞く、DDoSから学ぶ攻撃事例とその対応 muratak qiita: https://qiita.com/muratak-dev

Slide 2

Slide 2 text

私について ・@cosme、ブランド分析ツールの開発エンジニア 主な経験 (セキュリティ、DDoSに関連しそうな部分中心 ・@cosmeのインフラ再構築、負荷試験、負荷対策 ・@cosmeのTOP認証、ブランド分析系ツール認証再実装

Slide 3

Slide 3 text

@cosme TOP ・2024年に25周年を迎え TOPページもリニューアル

Slide 4

Slide 4 text

Brand Offical ・ToCだけでなくBrand OfficialなどのToBも認証系を含めリプレース Brand Official

Slide 5

Slide 5 text

基礎編) DDoSの知識 1. そもそもDDoS攻撃とは？ 2. DDoS攻撃の種類 3. AWSでの複合対策

Slide 6

Slide 6 text

1. そもそもDDoS攻撃とは？ ・複数のコンピュータから大量リクエストを送りつける手法 ・サーバーの負荷が圧迫してしまうので監視、分析、対策を行う

Slide 7

Slide 7 text

1. 2 そもそもDDoS攻撃とは？ ・DDoSはサーバーの 負荷圧迫につながる ・Bot Reqsは専用サーバー に振り分けが古典的な 対策例。より前座で、 もっと多面的に、 検知対策できないか？

Slide 8

Slide 8 text

2. DDoS攻撃の種類 ・インフラ層攻撃(L6以下への攻撃) - UDP reflection attacts - SYN flood attacks - TCP middlebox reflection ・アプリケーション層攻撃(L7への攻撃)

Slide 9

Slide 9 text

SYN flood attacks ・TCP接続における ハンドシェイクプロセスの悪用 ・SYNパケットの大量送信 Sol: AWS Standard Shield etc

Slide 10

Slide 10 text

UDP reflection attacts ・UDPはTCPと違って ハンドシェイクが不要 ・送信元のIPを偽装できる → UDPパケットの大量送信 Sol: AWS Standard Shield etc https://docs.aws.amazon.com/whitepapers/latest/aws-best-practices-ddos-resiliency/udp-reflection-attacks.html

Slide 11

Slide 11 text

TCP middlebox reflection ・比較的新しい攻撃として知られる (2021年 ~ ・中継地点に偽装SYN-ACKパケットを送信してRSTパケットの大量返却を狙う Sol: AWS Advanced Shield etc

Slide 12

Slide 12 text

3. AWSでの複合対策 AWS Shield Standard AWS Shield Advanced ALB, CloudFront, WAF など 複数観点での対策を行うことができる → 今回はWAFでの対策について「対策編」で深掘り

Slide 13

Slide 13 text

対策編) DDoSへの対策 1. 監視 2. 分析 3. 対策

Slide 14

Slide 14 text

1. 監視 アクセスパターンの監視を行う 監視項目) ・BadBots_Header ・NoUserAgent_Header ・SQLi_QUERYARGUMENTS, SQLi_COOKIE など多様な観点から監視を行う

Slide 15

Slide 15 text

1.2 監視ダッシュボード例 監視したい項目の推移が時系列グラフでわかるような感じであると便利 New Relicでの設定例 )

Slide 16

Slide 16 text

2. 分析 監視しておいたデータから攻撃傾向の分析 分析の考え方) ・攻撃を目的としたリクエストにはどういう傾向があるか？ ・例えばHeader, Cookie, Queryなどから不審なパターンを判断 → パターンがわかるとブロック導入を行うべき対象が明らかになる

Slide 17

Slide 17 text

3.1 対策 2. 分析でみた攻撃傾向からDDoSの対策を行う 対策の考え方) ・ブロックすべきでないものをブロックせず、 ブロックすべきものを確実にブロックできているか？ 例えば、SEOに関わるクローラーはブロックせず、 確実に攻撃と見なされたものをブロックするようにする

Slide 18

Slide 18 text

3.2 対策 ・例えば、bot(攻撃元)のパターンが分析できたら、 それらに対してRate Limitingをかける ・AWS Rate-based rules を使って特定のものをブロックする - Source IP Address - IP address in Header - Custom Keys ・クローラー系botをブロック しないように注意！(SEOのため Custom Keys

Slide 19

Slide 19 text

DDoSまとめ ・まず知識！代表的な攻撃を知っておく SYN Flood, UCP Reflection, TCP Middle Box Reflection ・監視 -> 分析 -> 対策の順で実行 怪しい通信を監視して攻撃傾向を見つけてパターンブロック