Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
2015-ShowNetステージ-DDoS
Search
ShowNet
PRO
July 01, 2015
Technology
0
8
2015-ShowNetステージ-DDoS
ShowNet
PRO
July 01, 2015
Tweet
Share
More Decks by ShowNet
See All by ShowNet
ShowNetの歩き方 2023
shownet
PRO
0
5
ShowNet2023 Topology
shownet
PRO
0
320
ShowNet2023 External
shownet
PRO
0
20
【shownet.conf_2023】ShowNetのネットワークを解説~最新鋭の技術で作るマルチテナントバックボーン~
shownet
PRO
0
1.4k
【shownet.conf_2023】ローカル5Gサービス提供への挑戦とその知見
shownet
PRO
0
1.4k
【shownet.conf_2023】パフォーマンス計測と詳細分析を組合わせた監視基盤の実現
shownet
PRO
0
1.4k
【shownet.conf_2023】ShowNetを守るセキュリティ〜広帯域化するネットワークを守る新たな挑戦〜
shownet
PRO
0
1.4k
【shownet.conf_2023】ShowNet を効率良く試験するために
shownet
PRO
0
1.6k
【shownet.conf_2023】ShowNet2023 伝送報告
shownet
PRO
0
1.7k
Other Decks in Technology
See All in Technology
Building a RAG-poweredAI chat appwith Python and VS Code
pamelafox
0
160
今日からできる!簡単 .NET 高速化 Tips -2024 edition-
xin9le
7
4k
エンジニア候補者向け資料2024.04.24.pdf
macloud
0
3.4k
認知症フレンドリーテックとスタックチャン
naokiuc
0
270
地理空間データ可視化・解析・活用ソリューション Pacific Spatial Solutions (PSS)
pacificspatialsolutions
0
330
アクセス制御にまつわる改善 / Improving access control
itkq
0
590
Autonomous Database Cloud 技術詳細 / adb-s_technical_detail_jp
oracle4engineer
PRO
15
35k
開発パフォーマンスを最大化するための開発体制
ham0215
7
1.1k
プロンプトエンジニアリングでがんばらない-Agentic Workflow へ-近藤憲児
kenjikondobai
6
1.2k
非同期推論システムによるコスト削減と信頼性向上
koki_nishihara
1
360
Rustで「プリズモイダル法」を利用して「土量計算」をガチでやる
nokonoko1203
1
310
LangSmith入門―トレース/評価/プロンプト管理などを担うLLMアプリ開発プラットフォーム
os1ma
5
720
Featured
See All Featured
Scaling GitHub
holman
457
140k
KATA
mclloyd
16
12k
ParisWeb 2013: Learning to Love: Crash Course in Emotional UX Design
dotmariusz
104
6.6k
Building Adaptive Systems
keathley
32
1.9k
Mobile First: as difficult as doing things right
swwweet
217
8.6k
Gamification - CAS2011
davidbonilla
77
4.6k
It's Worth the Effort
3n
180
27k
The Pragmatic Product Professional
lauravandoore
26
5.8k
Rebuilding a faster, lazier Slack
samanthasiow
74
8.2k
Rails Girls Zürich Keynote
gr2m
91
13k
Writing Fast Ruby
sferik
622
60k
[RailsConf 2023 Opening Keynote] The Magic of Rails
eileencodes
13
8.3k
Transcript
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team ShowNetが提示する これからのDDoS対策モデル
ShowNet NOC member 遠峰 隆史
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 2 DoSとは
DDoSについて • Denial of Service attack • サービス停止攻撃 • ネットワーク上の通信量を増大させ、回線や サーバのリソースを占有することにより、シス テムを過負荷・利用困難にする攻撃 多量の通信
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 3 DDoSとは
DDoSについて • Distributed Denial of Service attack • 分散型DoS • 複数の機器から同時に通信を発生させることで、 少しずつの通信を組み合わせて、対象に負荷を かける攻撃
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 4 DDoS対策の難しさ
DDoSについて DoS対策 • 送信元が一つ • フィルタを一つ書けばよい • フィルタによる影響も少ない • 送信元にも負荷がかかる DDoS対策 • 送信元がたくさん • フィルタ対応が困難 • 正常な通信を遮断してしまう 可能性 • 送信元には大きな影響がない 単純な対策では限界
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 5 400Gbpsに達するDDoS攻撃
現状の課題 ボリュームが急激に増加
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 6 DDoS攻撃事例
DDoSについて • 誰でも簡単にDDoS攻撃が できる時代に • 大規模なDDoS攻撃が増え 回線を完全に埋めてしまう ことも困難ではない 状況に応じたDDoS対策を 適材適所で行う必要性
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 7 DDoS対策機能の最適分散配置
ShowNetでのDDoS対策 課題:インターネット基盤を揺るがす大規模DDoS攻撃 対策:IX, トランジット, 自AS内での対策機能を分散配置 2. SDN IX IX攻撃流入口での攻撃トラフィック破棄 1. 緩和サービス BGP経路操作による攻撃緩和装置への 誘導・破棄 3. BGP Flowspec 網内緩和装置への誘導攻撃トラフィック の制限・破棄 自組織 IX トランジット
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 8 ShowNetに入ってくる前の対策
ShowNet外でのDDoS対策 • ISP Free Mitigation • トランジット提供プロバイダでDDoS緩和 • IXでのMitigation • SDN-IXでフローを制御
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 9 自組織
トランジット回線からのDDoS ISP Free Mitigation • インターネットからの帯域逼迫により他の通 信に多大な影響を及ぼすと共に、回線課金も 増大 トランジット
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team トランジットと連携したDDoS防御 トランジット連携防御
サーバA life/来場者端末等 出展社 Transit xFlowサンプル ShowNet External コレクタ 攻撃者 Dest IP:サーバA Source IP: B Dest port : 80 Source port :1900 1.攻撃判定 3.攻撃防御 正常者 Dest IP:サーバA Source IP: B Dest port : 80 Source port :2345 連携装置 防御指示 2.防御連携 防御指示
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 11 IXにおけるセキュリティ課題
SDN IX • 課題:DDoS攻撃によるIXと接続事業者間の帯域逼迫 • 現在:被害事業者内でのフィルタ →IXと事業者間の帯域逼迫を解消できない IXとの帯域を圧迫 被害事業者
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 12 SDN
IXでのDDoS防御 SDN IX • 被害事業者の運用者がコント ローラを介してフィルタ設定 • 攻撃トラフィックを流入口 で破棄 • IXと被害事業者間の帯域逼迫 を回避 被害事業者
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 13 ShowNet内での対策
ShowNet内でのDDoS対策 • BGP Flowspec + 緩和装置 • BGP FlowspecでDDoSトラフィックを曲げて 緩和装置へ誘導 • NFVでのMitigation • On-demandでの緩和装置の追加
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 14 ネットワーク内でのDDoS対策
網内での緩和装置 • 従来のDDoS対策は 対象となるサーバの前に インラインで導入 • 構成に制約が生じ、後 から追加するのも対象 を増やすのも難しい 緩和装置 サーバ
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team BGP FlowspecによるDDoS防御
BGP Flowspec + 緩和装置 サーバA life/来場者端末等 出展社 Transit Transit xFlowサンプル 2.フィルタルール生成 RR vMX By Juniper ShowNet External ShowNet Backbone コレクタ Samurai By NTTCOM Peer BGP Flowspec 対応ルータ 攻撃者 1.攻撃判定 4.攻撃防御 正常者 3.経路配布 Cisco ASR9900 Huawei NE5000E Juniper MX480
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 16 Traffic
analysis Firewall DDoSミチゲータ vCPE (NAT/ToS) NFVでのDDoS対策 NFVでのMitigation • ユーザごとにサービスチェインを選択 • vCPEでパケットにマーキング • 各サービスをToSの各bitに埋め込む • OpenFlowでサービスを適用するか判断 • ToSの特定bitをチェック • 1ならVNFへ、0なら迂回 • ユーザの要求に応じて機能を追加 OpenFlow Switch OpenFlow Switch OpenFlow Switch OpenFlow Switch
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 17 ISP
Free Mitigation SDN-IX BGP Flowspec + 緩和装置 NFV
Copyright © INTEROP TOKYO 2015 ShowNet NOC Team 18 トラフィックに応じたDDoS対策
ShowNetでのDDoS対策 適材適所の対策で効果的なDDoS対策を! 2. SDN IX IX攻撃流入口での攻撃トラフィック破棄 1. 緩和サービス BGP経路操作による攻撃緩和装置への 誘導・破棄 3. BGP Flowspec 網内緩和装置への誘導攻撃トラフィック の制限・破棄 自組織 IX トランジット