⾃動DDoS Mitigationサービス
北川 直哉
国⽴情報学研究所© 2024 National Institute of Informatics1⾃動DDoS Mitigationサービス• DDoS攻撃を⾃動的に検出・防御を⾏うための新サービスの提供を開始
Ø 2023年1⽉より正式サービスとして運⽤を開始
Ø SINET内にDDoS攻撃検知機能を配備
Ø 事前にサービス申請に基づき検知対象IPアドレスを設定
Ø DDoS攻撃をリアルタイムに検出・アラートを発出• 検知後10秒程度でパケットフィルタを⾃動設定（2023年11⽉より提供開始）

NEW︕
従来のDDoSミティゲーションサービス
申し込みから廃棄設定完了まで数時間以上❶ DDoS検出❷ ミティゲーション申請❸ RRにパケット廃棄設定❹ ルータのフィルタ設定

オペレータ

❶
加⼊機関

❷ルータ

❹

検出から廃棄設定完了まで10秒程度❶ サービス申請（DDoS対象アドレス登録）❷ 情報収集❸ DDoS攻撃検出❹ パケット廃棄設定

SINET受付❸

⾃動DDoS Mitigationサービス

SINET受付

オペレータ

RRルータ❹
インターネット等

加⼊機関❶❶❸

DDoS検出・制御システム❷ ❹ルータインターネット等

2システム概要• SINETが提供する⾃動DDoS Mitigationサービスによる攻撃検知結果を、ブラウザにてリアルタイムに確認いただくことが可能です
サービスポータルhttps://ddmon.sinet.ad.jp

ブラウザアクセス

DDoS攻撃リアルタイム検知
DDoS攻撃⾃動遮断（ポリサー/ドロップ）

監視結果
⾃動DDoS Mitigation
サービス
監
視

外部ネットワーク

メール/slack等の通知

制 監
御 視

制
御管理者2
管理者1
(テナントアドミン) (テナントユーザ)

...
加⼊機関様
3

ポータルサイトで確認できる情報• トラフィック量のグラフ表⽰• 加⼊機関様ネットワークに⼊⼒するトラフィック量の時間推移グラフを表⽰• 検知したDDoS攻撃トラフィック量、遮断したトラフィック量のグラフを表⽰• 攻撃対象IPアドレス頻出表⽰• 加⼊機関様ネットワークで攻撃対象となったIPアドレスの頻出ランキングを表⽰• 検出攻撃⼀覧• 加⼊機関様ネットワークに対する攻撃検知の⼀覧を表⽰• 攻撃対象IPアドレス、検知期間、検知トラフィック量等
表⽰対象CIDR指定

表⽰対象期間指定

トラフィック量のグラフ表⽰••••

ブラウザ表⽰
メールレポート機能（⼀部提供中）Slack, Microsoft teams 連携機能
ログインユーザ管理

検出攻撃毎のグラフ表⽰
xx.xx.xx.xx
xx.xx.xx.xx

○○大学
○○大学
○○大学
○○大学
○○大学
○○大学

xx.xx.xx.xx
xx.xx.xx.xx
xx.xx.xx.xx
xx.xx.xx.xx
xx.xx.xx.xx

攻撃対象頻出表⽰

検出攻撃⼀覧

xx.xx.xx.xx

xx.xx.xx.xx

xx.xx.xx.xx
xx.xx.xx.xx
xx.xx.xx.xx
xx.xx.xx.xx

4

概要画⾯(Overview)• トラフィックグラフ、攻撃検知⼀覧を表⽰

⽇時指定(From,To)で表⽰期間絞り込み可能(※デフォルトは直近24時間指定)

ブラウザ機能による印刷
CIDRで表⽰対象絞り込み可能
グラフ表記切替(bps/pps)
描画範囲調整○○大学○○大学○○大学

検出ステータスの表⽰
AAA学部

XX研究室

xx.xx.xx.xx

AAA学部

XX研究室

xx.xx.xx.xx

AAA学部

YY研究室

xx.xx.xx.xx

AAA学部

YY研究室

xx.xx.xx.xx

BBBグループ

ZZセンター

⾮対応

xx.xx.xx.xx

ページ切替

○○大学
○○大学
○○大学

xx.xx.xx.xx
xx.xx.xx.xx
xx.xx.xx.xx
xx.xx.xx.xx
xx.xx.xx.xx

加⼊機関様登録CIDRのトラフィックボリュームグラフ
・通常トラフィック
・攻撃検知トラフィック（遮断なし）
・攻撃検知トラフィック（遮断あり）
攻撃ターゲットIPアドレスとその検出数ランキング表⽰
検出攻撃⼀覧
(ターゲットIP,発⽣⽇時,検出理由等)
項⽬名クリックにより当該項⽬のソートが可能
表⽰数選択/ページ

5

概要画⾯(Overview)グラフ表⽰• トラフィックグラフの表⽰⾊の違いにより攻撃検知結果を⽰します
（緑）
（橙）
（⾚）

Allowed

攻撃とみなされなかった通常トラフィックのボリューム
Monitored 攻撃とみなされた被疑トラフィック（遮断せず通過状態を維持）のボリューム
Blocked

攻撃とみなされた被疑トラフィック（本システムにより遮断中）のボリューム
Monitored

Allowed...

Blocked新バージョン(2023/9/08以降)は旧バージョンとグラフの⾒え⽅が異なりますのでご注意ください（旧バージョンでは攻撃検知有無にかかわらずAllowed(緑)表⽰されていたものが新バージョンではAllowed/Monitoredで明⽰的に区別）
旧バージョンでの⾒え⽅(2023/9/07以前)

新バージョンでの⾒え⽅(2023/9/08以降)

ドロップ/ポリサー機能提供以降(2023/11/01以降)

通常トラフィック

AllowedAllowedAllowed

攻撃とみなされた被疑トラフィック（遮断せず通過状態を維持）

AllowedMonitored

Monitored

攻撃とみなされた被疑トラフィック（本システムにより遮断中）

⾮対応

⾮対応

Blocked6

アクション発動時のグラフの⾒え⽅• 攻撃検出時の制御はCIDR毎にご指定いただくアクションによって異なり、グラフの⾒え⽅と発動アクションの対応は以下の通りとなります。
アクション：モニターを指定したCIDR宛のトラフィック

アクション：ポリサーを指定した
CIDR宛のトラフィック

アクション：ドロップを指定した
CIDR宛のトラフィック

当サービス
検出

検出

通過遮断

遮断
通過DDoS攻撃トラフィック

通常トラフィック

通常トラフィック
機関様

通常トラフィック

機関様

SINET6SINET6

流量規制(部分遮断)

モニター

time

（緑） Allowed （橙） Monitored （赤） Blocked

攻撃開始

bps,pps検出のみで通過維持

ポリサー遮断分は"Blocked"

ポリサー通過分は"Monitored"

time

機関様

遮断
攻撃開始

bps,pps

SINET6bps,pps

完全ガード

流量規制

制御無し

攻撃開始

検出

被害緩和

ドロップ遮断分は"Blocked"

time

7

FAQ
• 当サービスの利⽤による通信遅延等の影響はありますか︖
Ø 当サービスの導⼊および提供においては通信遅延の増⼤や転送速度の低下などの影響が無いことを確認して進めてきております。なお、これまでにそのような影響の発⽣は確認されておりません。

• SINET利⽤機関であれば無償で利⽤可能ですか︖
Ø はい、無償にてご利⽤いただけます。

• アクション変更申請を⾏なった場合（例: モニタ→ドロップ）、変更後のアクションはいつ適⽤されますか︖
Ø システムの仕様上、攻撃検出状態が進⾏中のものには適⽤されません。
当該アドレスに対する次回検出時に、変更申請いただいた新しいアクションが適⽤されます。

• 攻撃検出とアクション（ドロップ等）適⽤のイメージを知りたいØ 単純なトラフィック量の超過だけではなく、送信元/送信先のアドレスおよびポート番号、パケットサイズ、TCPフラグ等、様々な要素の組合せ条件により攻撃検出が⾏われます。
その後、事前に指定したアクションが適⽤され、当該条件の攻撃終了後にそのアクションが⾃動的に解除されます。
8

おわりに•ご利⽤にあたってØ 本サービスはIPv4/IPv6 dualサービスを利⽤されている機関様向けサービスですØ 利⽤申請にあたっては，加⼊機関内の合意を得た上で、機関の⻑、最⾼情報システム責任者または最⾼情報セキュリティ責任者の承諾を得た上でご申請くださいØ ドロップ/ポリサを利⽤の際は注意事項をよくお読みの上ご申請ください

⾃動DDoS Mitigationサービスをぜひご利⽤ください︕

9

共考共創
ご清聴ありがとうございました︕

10