ソリューションブリーフ

マルチベクトル型DDoS攻撃に対する耐性強化
重要な DNS インフラストラクチャを保護
概要

DNS（ドメインネームシステム）は、ユーザーが円滑にインターネットを閲覧するためにサービスプロバイダや企業にとって重要なインフラストラクチャです。ウェブサイトやインフラストラクチャを標的にした大規模な分散型サービス妨害（DDoS）攻撃は最近のニュースでも注目され、高い信頼課題

DNSはすべてのユーザーにとってインターネットアクセスに不可欠で重要なシステムです。
攻撃者がビジネスオペレーションを中断させるために最も標的とするサービスの 1つです。

性が求められるインターネットサービス、および DNS の停止に伴い大きなソリューション

ネットワーク事業者は積極的に、DDoS 攻撃の耐性を備えた DNS インフラサービスの可用性を保証しマルチベクトル被ることになります。

ションです。費用対効果に応じてさまざまな打撃を与えることから DNS の重要性の認識が大きく高まっています。

ストラクチャを構築し、十分な防御を施さなければ、予測できない結果を権威

パケット毎秒（pps）の能力

正当なユーザーエンタープライズ
再帰および権威© 2024 A10 Networks, Inc. All rights reserved.

• マルチベクトル型DDoS攻撃に最適な耐性強化策を提供

巧妙なDDoS攻撃からDNSを保護

権威再帰および権威特長• テラビットレベルの規模や、対策が困難なトップレベルドメイン（TLD）

ISP型 DDoS 攻撃に適した DDoS 対策ソリュー

フォームファクタで利用可能です。

A10 Defend はあらゆる規模の DNS インフラストラクチャを保護ルート

A10 Defend は、あらゆる規模のビジネス

攻撃者ユーザー• 正常なトラフィックの挙動を自動的に学習• 攻撃対応時のリスク軽減策を自動化し効率的に防御• オープンAPIでオーケストレーション機能を統合しセキュリティ運用を単純化

マルチベクトル型DDoS攻撃に対する耐性強化 | SOLUTION BRIEFDNS の脅威の全体像

DNS インフラストラクチャに対する DDoS 攻撃は非常に単純です。
正当なユーザーと同様、攻撃者はインターネットを介して DNSにクエリを送信し、DNS はレスポンスを返します。問題は、攻撃者が大規模なボットネットを利用し、DNS に過剰な負荷をかける時に発生します。

正当なユーザーと攻撃者を識別して不正な活動を阻止し、円滑な運用を実現するため不可欠な DNS 防御と解決すべき課題• DNS サーバは、大容量のネットワークトラフィック、およびリソース枯渇型のプロトコル攻撃に強くありません。

• 攻撃者は DNS の特性および脆弱性を利用します。

• UDP ベースの転送メカニズムのため、攻撃者は送信元 IP を簡単に偽装することができます。

• DNSレスポンスの特性は、攻撃者に多くの攻撃機会を与えます。
• 攻撃者は DNS クエリとDNS レスポンスのパケットサイズのモノの DDoS

脆弱で常時接続した IoT（モノのインターネット）デバイスが兵器と化した結果、より広範囲に分散されたデバイスで構成されるボットネットから攻撃することが可能になりました。兵器化したIoT 機器は、DNS サーバに偽のトラフィックを氾濫させ、攻撃対象の DNS サーバのリソースを枯渇させ、正当なユーザーに対してDNS の再帰機能および権威機能が十分に提供できなくなります。

DNSリフレクション（反射）・アンプリフィケーション（増幅）リフレクション（反射）の動作を利用し送信元のアドレスを標的のIP アドレスになりすまし、DNSリクエストとレスポンスパケットサイズの差異を利用して攻撃トラフィックを増幅させます。攻撃者は、世界中の公開された DNS リゾルバサーバに対して、偽装した多数のリクエストを送信し、標的となる権威サーバのリソースを枯渇させます。効果を最大化するため、リフレクション（反射）攻撃は非常に大きな DNS レスポンスを生成するように増幅する DNS プロトコルの特性を利用します。

大きな差異を利用して増幅攻撃を行います。

ランダムクエリ（水攻め）攻撃

リゾルバからの行われるリフレクション攻撃に強くありません。

で DNS クエリを送信します。再帰 DNS サーバは、キャッシュに• DNS は、何百万ものセキュリティ対策がない公開された DNS

攻撃方法

フラッディング

DNS サービスはサーバ上のネットワーク機能で実行されます。
結果として、不正な形式のパケット、ランダムポートへの UDP パ

ランダムクエリ（水攻め）攻撃は無効または存在しないドメインないランダムなクエリを送信することで、権威 DNS サーバに存在しないレコードを検索させることでリソースを枯渇させます。

また、不要なデータでキャッシュがいっぱいになるため、パフォーマンスが悪化します。

ケット、TCP SYNフラッド、および他のリソース枯渇型の攻撃など、動作の仕組みボットネットを利用して、大量の不正なトラフィック、つまり大量の撃を検知および防御します。IoT を悪用した DDoS 攻撃や従来の一般的なネットワークフラッド攻撃の影響を受けます。攻撃者は不正な DNS クエリを送信して、正当なユーザーが利用するサーバを停止させます。

スプーフィング（なりすまし）DNS クエリのなりすましは、通常、コネクションレス型の UDP経由で行われるため、非常に簡単です。攻撃者は自身の IP アドレスからクエリを送信する代わりに、任意の IP アドレスに偽装してDNS クエリを送信し、攻撃元を隠蔽し、より効果的かつ大規模な攻撃を行うことができます。

A10 Defend はネットワークの境界でマルチベクトル型 DDoS 攻

ゾンビPC のボットネットから保護するため、エッジルータやスイッチからのパケットやフローレコードを分析しDDoS 攻撃を検出します。これは、学習した正常なトラフィックと比較して異常な挙動を検知するため 27 以上のトラフィック挙動インジケータでトラフィックを追跡して、正当なユーザーと攻撃者のボットを正確に区別します。DNS サービスには複数階層の保護が提供されており、ソースベースのレート制限、チャレンジレスポンス認証、不正なリクエストのブロック、ブラックリストの登録などが含まれます。

A10 Defend は、GUI、CLI（コマンドラインインターフェース）から、オープン API まで、幅広いカスタマイズ機能を提供します。
これにより、防御する側は、カスタマイズできる防御策の構築が可能で、標的型のマルチベクトル型 DDoS 攻撃に対するDNS サー

ビスの耐性を強化します。

2© 2024 A10 Networks, Inc. All rights reserved.

マルチベクトル型DDoS攻撃に対する耐性強化 | SOLUTION BRIEF

A10 Defend の DNS に対する DDoS の防御ユーザーと攻撃者

NETWORK FLOOD ATTACKS, SPOOFING ATTACKS, DIRECTED FLOOD ATTACKS, DNS REFLECTION/AMPLIFICATION ATTACKS, NXDOMAIN ATTACKSDDoSクエリ

正当なユーザーのDNSをクエリ

正当なユーザーのDNSをクエリ

一般的なネット

ワーク攻撃およびプロトコル攻撃を削減

脅威インテリジ

ェンスを活用したブラックリスト

不正な形式のDNSクエリを拒否

ANYのリクエス

トクエリを拒否FQDN（完全修FQDN長さ制限の過剰なクエリを拒否

飾ドメイン名）へを制限違反のリクエスト

DNS認証チャレンジの実行

レコードタイプで、 ランダムクエリのDNSリクエストのレートを制限

レートを制限NXDOMAINレス

ポンスのリクエスト送信者のクエリを制限

A10 Defend の DNS 防御のコンポーネント

A10 Defend は、一般的なネットワーク攻撃とDNS 固有の攻撃ベクトルの検出とリスク軽減策を提供します。

一般的な DNS サーバのリスク軽減措置• DNS サーバファームを保護する一般的な対策• L3/L4 パケットの異常の検出• 送信元ベースのフィルタリングと制限• 無効な不正な形式のパケットの検出• TCP/UDP/DNS 認証チャレンジ• 宛先ベースのフィルタリングと制限• 正常なトラフィックの学習とベースラインの設定• 学習したベースラインのしきい値と比較した、5 段階の自動化

リスク軽減策の設定• 既知の不正なソースをブロックする統合型脅威インテリジェンス

DNS 固有の軽減対策• 不正な形式のクエリを拒否

‒ 基本
‒ 拡張

• ANY のリクエストクエリを拒否‒ 実用性が限定的なコストが大きなクエリを制限• FQDN 長の制限違反リクエストを拒否‒ 任意のサフィックスの位置‒ 特定のサフィックスの位置で開始• FQDN（完全修飾ドメイン名）への過剰なクエリを制限‒ 送信元 IP 単位‒ 評価する FQDN のラベル数を指定（最大 10）• レコードタイプで、DNSリクエストのレートを制限‒ 高度な攻撃から防御• NXDOMAINレスポンスのリクエスト送信者のクエリを制限• 宛先のクエリレートを制限‒ サーバへの過剰な負荷を防止• 送信元 IP 毎に DNS クエリ認証チャレンジを実行‒ 時間制限ありの強制リトライ‒ TCPレスポンスへ強制的に切り替え
これらのリスク軽減策機能により、増幅型、Land 攻撃、水攻め攻撃、およびファントムドメイン攻撃などの DDoS 攻撃から防御します。
これらは DNS 攻撃の中で最も一般的な攻撃で DNS サービスに対して大きな影響を与えます。

© 2024 A10 Networks, Inc. All rights reserved.

3

マルチベクトル型DDoS攻撃に対する耐性強化 | SOLUTION BRIEF

リスク軽減策の自動化エスカレーション機能

攻撃対応時の混乱の中、熟練したスタッフやリソースを無制限に使える組織はありません。A10 Defend は、保護するゾーンやサービス単位で、学習済の正常時のベースラインと比較して、5 段階レベルのプログラマチックなリスク軽減策の引き上げおよび引き戻しをサポートしています。管理者は、保護するサービス単位に調整したポリシーを作成することで、A10 Defend は各レベルで必要なリスク軽減策を自動的に適用します。これにより、時間がかかる現場スタッフの手作業による変更が不要になり、攻撃時における対応時間が短縮します。

管理者は、特定の段階で、手動で介入することもできます。

DNS 防御のリスク軽減策のエスカレーションポリシーの例
レベル 4 - 攻撃対応時
最終的な対策レベル 3 - 攻撃対応時対策の改善

レベル 2 - 攻撃対応時対策の改善

レベル 1 - 攻撃対応時対策の追加

インジケータの追跡

リスク軽減措置の適用

インジケータの追跡を継続

BGPブラックホールシグナリング
管理者の手動介入

ゾーンしきい値 4

インジケータの追跡を継続
ゾーンしきい値 3

インジケータの追跡を継続
ゾーンしきい値 2

インジケータの追跡を継続
ゾーンしきい値 1

アクション

すべてのレベル3のリスク軽減措置
DNS-udp-authentication-force-tcp
Dst-rate-limit-request
すべてのレベル2のリスク軽減措置
DNS-udp-authentication-force-retry
Malformed-DNS-query-check-extended
Src-rate-limit-by-request-type
すべてのレベル1のリスク軽減措置
Malformed-DNS-query-check-basic
DNS-any-check
FQDN-label-length
FQDN-rate-limit-domain-name-suﬃx
FQDN-label-countカスタム正規表現を作成
カスタムのBerkley Packet Filterを作成

課題
拒否
宛先レートの制限
送信元をブラックリストに登録

課題
拒否
ソースのクエリタイプのレートの制限
送信元をブラックリストに登録拒否
FQDNのチェック
送信元レートの制限
送信元をブラックリストに登録

すべてのレベル0のリスク軽減措置

レベル 0 - 正常時
ベースラインの設定、最小限の対策

TCP-conn-miss-rate
TCP-pkt-drop-ratio
TCP-syn-rate
TCP-src-threshold
TCP-zone-threshold
UDP-pkt-drop-ratio
UDP-pkt-rate
UDP-src-threshold
UDP-zone-threshold

L3/L4パケットの異常性チェック

各レベルへの自動引き上げ

UDPセッション

および引き戻し用に27以上の10,000

セッション/セット

インジケータを追跡

拒否

7,500
5,000
2,5000保護するサービスの挙動ベースラインを設定

4© 2024 A10 Networks, Inc. All rights reserved.

03:00:00:005

03:00:00:010

03:00:00:015

時間

03:00:00:020

03:00:00:025

マルチベクトル型DDoS攻撃に対する耐性強化 | SOLUTION BRIEF

機能と特長

まとめ

• 27 以上のトラフィック挙動インジータを追跡し正規のユー率なシグネチャベースの IPS やトラフィックのレート制限に依存• マルチベクトル型 DDoS 攻撃からの完全な保護

ザーとボットネットを高精度に識別• コネクションレート単位で送信元と宛先の組み合わせによる詳細な保護策• 迅速な応答、検出とエスカレーション措置の間隔を200msに短縮• 能力を300Gbps、440Mpps にスケールし、単一のアプライア

新しい脅威は範囲、強さ、複雑さにおいて変化しています。非効する既存のソリューションでは、もはや十分に対抗できません。

A10 Defend は、最も難しい DNS ベースの攻撃を防御するためのスケーラビリティと正確性を備え、DDoS 攻撃に対する DNS インフラストラクチャの耐性を強化します。

古い世代の DDoS 製品とは異なり、A10 Defend は市場で実績あるA10 の ACOS®（ Advanced Core Operating System）
プラット

ンスで同時に追跡するセッション数を1 億 2800 万にスケールフォームをベースにしています。そのため、拡張可能なフォーム自動オーケストレーションとのインテグレーションが容易能です。

• ポリシーエンジンは 100%API を使ったプログラムが可能で、ファクタと経済的なコスト構造で完全な防御、検知、報告が可A10 は、A10 DDoS インシデントセキュリティ対応チーム（DSIRT）• ネットワークに導入が容易なオンデマンド型のリアクティブ方式の導入、および BPG、OSPF、IS-IS ルーティングを使用したL2/L3 のプロアクティブ方式の導入が可能

次のステップ

A10 Defend の詳細については、A10 ネットワークスの担当者にを含め、24 時間 365 日、DDoS のインシデントや攻撃の分析および対応のサポートを行っています。A10 脅威インテリジェンス

サービスは、世界中の知識を活用して、既知の攻撃リソースからプロアクティブに保護します。

お問い合わせいただくか、以下のサイトをご覧ください。

h tt p : / /a 1 0 n et wo r k s .co. j p / p ro d u cts / t h u n d e rs e r i e s /thunder-tps/index.html

A10 Networks / A10 ネットワークス株式会社について

A10 Networks は、オンプレミス、ハイブリッドクラウド、エッジクラウド環境における、セキュリティ、インフラストラクチャの課題を解決するソリューションを提供しています。大手グローバル企業や通信、クラウド、Web サービス事業者まで 7000 社以上のお客様に導入いただいており、ビジネスに不可欠なアプリケーションやネットワークの安全性、可用性、効率性を高めています。A10 ネットワークスは 2004 年に設立されました。米国カリフォルニア州サンノゼに本社を置き、世界中のお客様にサービスを提供しています。

A10 ネットワークス株式会社は A10 Networks の日本子会社であり、お客様の意見や要望を積極的に取り入れ、革新的なアプリケーションネッ
トワーキングソリューションをご提供することを使命としています。
詳しくはホームページをご覧ください。

• URL：https://www.a10networks.co.jp/• X（旧 Twitter）：https://twitter.com/a10networksjp• Facebook：https://www.facebook.com/A10networksjapan

A10ネットワークス株式会社

Learn More
About A10 Networks
お問い合わせA10networks.co.jp/contact

www.a10networks.co.jp©2024 A10 Networks, Inc. All rights reserved. A10 ロゴ、A10 Networks は 米 国およびその他 各 国 における A10 Networks, Inc. の商 標または登録商標です。その他上記の全ての商品およびサービスの名称はそれら各社の商標です。 A10 Networks は本書の誤りに関して責任を負いません。
A10 Networks は、予告なく本書を変更、修正、譲渡、および改訂する権利を留保します。製品の仕様や機能は、変更する場合がございますので、ご注意ください。 商標について詳しくはホームページをご覧ください。 www.a10networks.com/a10-trademarks
Part Number: A10-SB-19175-JA-03 JUN 2024