DDoS攻撃者は、長時間にわたる攻撃よりも、短時間の妨害を繰り返す手法をますます好むようになっている。Cloudflareによると、同社は1時間に数千件の攻撃を阻止している。
同社は、最新のDDoS脅威レポートによると、2026年7月から9月までの間にネットワーク層のDDoS攻撃1,820万件を緩和した。前年同期比で208%の増加となる。
Cloudflareはまた、同四半期にDDoS攻撃に関連する悪意あるHTTPリクエストを14.4兆件阻止した。一方、ネットワーク層の攻撃の96%は10分未満で終了しており、セキュリティチームが手動で対応する時間はほとんどない。
同社はこの傾向をDDoS攻撃代行サービス（一般にブーターと呼ばれる）と結び付けている。これらのサービスによって、顧客は指定した標的に攻撃を仕掛けられる。今回の数字は、攻撃者が大規模なトラフィック・フラッドに集中するのではなく、短時間の妨害を繰り返す手法にますます依存していることを示している。
大規模ボットネットの妨害でも脅威はなくならない
小規模な攻撃が増加した一方、毎秒1テラビットを超える超大容量DDoS攻撃は、第2四半期の805件から第3四半期には251件へ減少し、約69%減となった。
この減少は、3月に実施された法執行機関による作戦が、次の4つの主要なIoTボットネットを標的にしたことと時期が重なる。Aisuru、KimWolf、JackSkid、Mossadが対象となった。しかしCloudflareは、DysphoriaやEvooo1Botなど、新たな亜種も登場していると指摘した。
Mirai関連の活動も依然として大規模だった。緩和されたトラフィック量は8月に57.23ペタバイトでピークに達し、同四半期に緩和されたネットワーク層の全バイト数の46.5%を占めた。Miraiによる最長の継続攻撃は約50時間に及んだ。
攻撃者は異なるDDoS手法へ移行
Cloudflareはまた、同四半期に攻撃者が使用した手法にも変化があったと報告した。
コネクションレス軽量ディレクトリアクセスプロトコル（CLDAP）のリフレクション攻撃は前四半期比で99.5%減少し、ネットワーク層の攻撃に占める割合はわずか0.05%となった。DNSアンプ攻撃は215%増加し、インシデントの3.43%を占めた。
その他のUDPフラッドも増加し、その割合は14.06%から31.31%に上昇した。
こうした変化は、攻撃者が利用可能な攻撃手法をいかに素早く切り替えられるかを示している。1つの手法を妨害したり、ボットネットを停止させたりしても、DDoS攻撃の背後にあるインフラや需要まで排除できるとは限らない。
企業はより短い対応時間に直面
攻撃パターンの変化は、ITチームやセキュリティチームに現実的な課題をもたらす。ほとんどのインシデントが10分以内に終了する状況では、アラートを手動で調査し、ネットワーク防御を調整する作業に、攻撃そのものより長い時間がかかる可能性がある。
顧客ポータル、オンライン取引、クラウドアプリケーションなど、インターネットに接続されたサービスを運用する組織には、人の介入を待たずに対応できる自動検知・緩和機能が必要となる。
このことは、帯域幅の容量を超えた範囲で防御を見直す重要性も高めている。防御策では、時折発生する大容量フラッドだけでなく、サーバーリソースを枯渇させる小規模な攻撃の繰り返しにも対応しなければならない。
短時間のDDoS攻撃から企業を守る方法
攻撃パターンの変化は、ITチームやセキュリティチームに現実的な課題をもたらす。ほとんどのインシデントが10分以内に終了する状況では、アラートを手動で調査し、防御策を調整する作業に、攻撃そのものより長い時間がかかる可能性がある。
顧客にとって、その影響は長時間の障害ではなく、決済の失敗、ログインのタイムアウト、断続的なサービス中断として現れる可能性がある。比較的小規模な攻撃でも、十分な防御を備えていないサービスを妨害できる。
企業はDDoS防御を見直し、ホスティング事業者やネットワークプロバイダーに次の3点を確認すべきだ。
- 検知とフィルタリングは自動的に行われるのか、それとも担当者がまずアラートを確認する必要があるのか。
- 防御は常時有効になっているか。
- プロバイダーは、短時間の攻撃が繰り返される場合にどのように対応するのか。
Cloudflareは、自社ネットワーク上のすべてのサービスに対し、330以上の都市と500Tbpsの容量全体で、無料かつ容量制限のないDDoS防御を提供しているとしている。
ITチームは、攻撃者がリフレクション攻撃やアンプ攻撃に悪用する可能性のある、外部公開されたDNSリゾルバーやディレクトリーサービスも見直すべきだ。
ホスティング事業者やネットワークプロバイダーは、CloudflareのDDoS Botnet Threat Feedを含む脅威インテリジェンスフィードを利用して、悪用トラフィックに関連するインフラを特定できる。
今回の調査結果は、長時間にわたる大容量インシデントだけを想定した防御ではなく、規模の異なる攻撃に迅速に対応する自動防御の必要性を改めて示している。
その他のニュース：Sony Network Communicationsは、日本国内のSo-netおよびplalaの顧客記録約259万件に影響するデータ侵害を公表した。54,401件のメールアカウントのパスワードも影響を受けた。