Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
DDoS対策 ~監視、分析、対策~
Search
muratak
March 25, 2025
2
78
DDoS対策 ~監視、分析、対策~
このスライドはRosCafe社にホストされた
2025/3/26開催「3社に聞く、DDoSから学ぶ攻撃事例とその対応 」
で著者が発表したDDoS対策 ~監視、分析、対策~のスライド資料になります
muratak
March 25, 2025
Tweet
Share
More Decks by muratak
See All by muratak
Why Hono なぜHonoを使うべきなのか
tresagua0123
6
1.3k
大規模な美容メディアのフロントエンドを支えるサーバー技術
tresagua0123
0
25
バッチシステムのリプレース ~オンプレ/PHP->AWS/TypeScriptで実現する大規模バッチの新規設計、構築~
tresagua0123
0
18
Next.jsのセキュリティ設計とアーキテクチャ
tresagua0123
4
3.1k
Featured
See All Featured
The Success of Rails: Ensuring Growth for the Next 100 Years
eileencodes
45
7.5k
JavaScript: Past, Present, and Future - NDC Porto 2020
reverentgeek
48
5.4k
Into the Great Unknown - MozCon
thekraken
39
1.9k
Unsuck your backbone
ammeep
671
58k
The Psychology of Web Performance [Beyond Tellerrand 2023]
tammyeverts
48
2.9k
Design and Strategy: How to Deal with People Who Don’t "Get" Design
morganepeng
130
19k
Intergalactic Javascript Robots from Outer Space
tanoku
271
27k
The Web Performance Landscape in 2024 [PerfNow 2024]
tammyeverts
8
680
Navigating Team Friction
lara
187
15k
Building Flexible Design Systems
yeseniaperezcruz
328
39k
The World Runs on Bad Software
bkeepers
PRO
69
11k
[Rails World 2023 - Day 1 Closing Keynote] - The Magic of Rails
eileencodes
35
2.4k
Transcript
DDoS対策~監視、分析、対策~ 3社に聞く、DDoSから学ぶ攻撃事例とその対応 muratak qiita: https://qiita.com/muratak-dev
私について ・@cosme、ブランド分析ツールの開発エンジニア 主な経験 (セキュリティ、DDoSに関連しそうな部分中心 ・@cosmeのインフラ再構築、負荷試験、負荷対策 ・@cosmeのTOP認証、ブランド分析系ツール認証再実装
@cosme TOP ・2024年に25周年を迎え TOPページもリニューアル
Brand Offical ・ToCだけでなくBrand OfficialなどのToBも認証系を含めリプレース Brand Official
基礎編) DDoSの知識 1. そもそもDDoS攻撃とは? 2. DDoS攻撃の種類 3. AWSでの複合対策
1. そもそもDDoS攻撃とは? ・複数のコンピュータから大量リクエストを送りつける手法 ・サーバーの負荷が圧迫してしまうので監視、分析、対策を行う
1. 2 そもそもDDoS攻撃とは? ・DDoSはサーバーの 負荷圧迫につながる ・Bot Reqsは専用サーバー に振り分けが古典的な 対策例。より前座で、 もっと多面的に、
検知対策できないか?
2. DDoS攻撃の種類 ・インフラ層攻撃(L6以下への攻撃) - UDP reflection attacts - SYN flood
attacks - TCP middlebox reflection ・アプリケーション層攻撃(L7への攻撃)
SYN flood attacks ・TCP接続における ハンドシェイクプロセスの悪用 ・SYNパケットの大量送信 Sol: AWS Standard Shield
etc
UDP reflection attacts ・UDPはTCPと違って ハンドシェイクが不要 ・送信元のIPを偽装できる → UDPパケットの大量送信 Sol: AWS
Standard Shield etc https://docs.aws.amazon.com/whitepapers/latest/aws-best-practices-ddos-resiliency/udp-reflection-attacks.html
TCP middlebox reflection ・比較的新しい攻撃として知られる (2021年 ~ ・中継地点に偽装SYN-ACKパケットを送信してRSTパケットの大量返却を狙う Sol: AWS Advanced
Shield etc
3. AWSでの複合対策 AWS Shield Standard AWS Shield Advanced ALB, CloudFront,
WAF など 複数観点での対策を行うことができる → 今回はWAFでの対策について「対策編」で深掘り
対策編) DDoSへの対策 1. 監視 2. 分析 3. 対策
1. 監視 アクセスパターンの監視を行う 監視項目) ・BadBots_Header ・NoUserAgent_Header ・SQLi_QUERYARGUMENTS, SQLi_COOKIE など多様な観点から監視を行う
1.2 監視ダッシュボード例 監視したい項目の推移が時系列グラフでわかるような感じであると便利 New Relicでの設定例 )
2. 分析 監視しておいたデータから攻撃傾向の分析 分析の考え方) ・攻撃を目的としたリクエストにはどういう傾向があるか? ・例えばHeader, Cookie, Queryなどから不審なパターンを判断 → パターンがわかるとブロック導入を行うべき対象が明らかになる
3.1 対策 2. 分析でみた攻撃傾向からDDoSの対策を行う 対策の考え方) ・ブロックすべきでないものをブロックせず、 ブロックすべきものを確実にブロックできているか? 例えば、SEOに関わるクローラーはブロックせず、 確実に攻撃と見なされたものをブロックするようにする
3.2 対策 ・例えば、bot(攻撃元)のパターンが分析できたら、 それらに対してRate Limitingをかける ・AWS Rate-based rules を使って特定のものをブロックする -
Source IP Address - IP address in Header - Custom Keys ・クローラー系botをブロック しないように注意!(SEOのため Custom Keys
DDoSまとめ ・まず知識!代表的な攻撃を知っておく SYN Flood, UCP Reflection, TCP Middle Box Reflection
・監視 -> 分析 -> 対策の順で実行 怪しい通信を監視して攻撃傾向を見つけてパターンブロック