本調査結果は、総務省の「令和５年度 重要IoT機器のセキュリティ対策に係る調査の請負」事業（受託者：株式会社三菱総合研究所）により作成したものを、総務省で公表するものです。
本資料に関するお問合せ等は総務省サイバーセキュリティ統括官室までお願いいたします。
メールアドレス:notice@ml.soumu.go.jp

Copyright © Mitsubishi Research InstituteDDoS攻撃の傾向と対策について

2024年3月

先進技術・セキュリティ事業本部＊本資料は、総務省事業「令和５年度DDoS攻撃の俯瞰的な把握に関する調査請負」の成果を基に作成しました。

本資料についてDDoS（分散型サービス妨害）攻撃は、オンラインサービスやウェブサイトに対する重大な脅威です。
効果的なDDoS対策を構築するためには、最近の攻撃傾向や影響を理解し、それに対する適切な対策を講じることが重要です。本資料はステークホルダでDDoS対策を検討するうえで参考となる情報を提供します。
1. DDo S攻撃 の概要

2

2. 最近 のDDoS攻 撃の傾 向と影 響

4

3. DDoS攻 撃及び DDo S攻撃 被害 を緩和 する主 体者

7

3 . 1 ウ ェ ブ カメラ や ルー タの利用者の対策

8

3. 2 I o T機器/ル ーター のメー カー の対策

10

3. 3 サーバ ーの運用・管理者の対策

11

3. 4 I SP の対策

12

４. DDoS攻 撃及び DDo S攻撃 被害 を緩和 するた め に対策 すべ きポイン ト

24[参考情 報] DDoS攻撃の 傾向 につ いて

１７

Copyright © Mitsubishi Research Institute1. DDoS攻撃の概要

DDoS攻撃の定義と概要
 インターネットは、今やあらゆる 社会経 済活動 を支え る基盤で あり、イン ター ネット の利用 によ り経 済活動 や国 民生活の利便性の向上が期待されています。一方 で、このよう なインタ ーネット利 用の普 及に伴って、企 業、個人、政 府組織を狙ったサイバー攻撃が顕在化するとともに、 情報通 信技術 の発展 も相まって、DDoS攻 撃やマル ウェアの感 染活動等、サイバー攻撃の手法そのものも巧妙化、複雑 化してい る状況 にあ ります。

DDoS攻撃（ディー・ドス・こうげき）
Distributed Denial of Service attack（ディストリビューテッド・デナイアル・オブ・サービス・アタック）。分散サービス拒否攻撃のこと。
Webサーバやメールサーバなどに対して、複数のコンピュータから大量のサービス要求のパケットを送りつけることで、相手のサーバやネットワー
クに過大な負荷をかけ、使用不能にします。 同様の攻撃方法であるDoS攻撃は1台のコンピュータから実行するものですが、DDoS攻撃の場合は、
例えば第三者のコンピュータをボットに感染させておくなどして、攻撃者の指示によって複数のコンピュータ(ボット)が一斉に攻撃します。
出所）国民のためのサイバーセキュリティサイト | 用語辞典（英字）｜国民のためのサイバーセキュリティサ イト
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/glossary/glossary_11.html#DDoS%E6%94%BB%E6%92%8 3%EF%BC%88 %E3% 83% 87% E3% 82% A3%E3%83%BC%E3%83%BB%E3%83%89%E3%82%B9%E3%83%BB%E3%81%93%E3%81%86%E3%81%92%E3%81%8D%EF%BC%89
Copyright © Mitsubishi Research Institute3

1. DDoS攻撃の概要

DDoS攻撃の影響と被害
 DDoS攻撃は、複数のコンピュータから同時に攻撃を仕掛けることによって、ウェブサーバーの機能を停止するサイバー攻撃です。以下に、DDoS攻撃がもたらす主な影響と被害について説明します。

サービスの中断

 DDoS攻撃により、ウェブサイト やオンラインサー ビス が利用で きな くなる可 能
性があります。これは、特にオンラインショッピン グサイト などを 運営している場
合、営業ができないことによって売上 の低下 などの 被害が 発生します。

信用の喪失 サービスの停止期間が長引けば、会 社の信 用の喪 失 に繋が ります。ウェブでのビジネスでは信頼度の高さ がそのまま売上にも直結す るため、 信用低 下による経済的損失は想像以上に大 きくな ります。

復旧費用

 DDoS攻撃を受けると、サーバーの復旧作 業が必 要となります。これ には、人的・金銭的・時間的リソースが割かれること にな ります。

他のシステムへの踏み台

Copyright © Mitsubishi Research Institute 攻撃者によってボット ウイルスを 送り込まれ、 自分が ボット ネット の一員とな ってしまうというものです。ボットネットとは、攻撃 者 によって制 御を奪 われたコン
ピュータの集まりで、数千～数十万というネットワークから構成 され ていることもあります。攻撃者はボットに一 斉に指令を 送り、 外部の 他の組 織に対して大 規
模なDDoS攻撃を行ったり、スパム メール を送信 した りすることもあ ります。

4

2. 最近のDDoS攻撃の傾向

2023年に観測されているパケットの傾向
 1 IPアドレス当たりの年間総観測 パケット数 は、 前年の2 022 年から更 に増 加してお り、インタ ーネット上 を飛び交う探索活動が更に活発化していること が、数字 から読み取 れます。
 総観測パケットに占める海外組織 からの調 査目的と見 られ るスキャンの割 合は、 2022 年の5 4.9% から更 に増加し、63.8%を占めました。調査機関 によるス キャン パケットが半 数以上 を占める 傾向 は、201 9年以 降継続していますが、その割合は年々増加する 傾向が 続い ています。

IPアドレス当たりの年間総観測パケット数（過去10年間）

NICTERダークネット観測統計（過去10年間）出所）NICTER観測レポート2023の公開 ｜2024年 ｜NICT-情 報通信 研究機 構

Copyright © Mitsubishi Research Institutehttps://www.nict.go.jp/press/2 02 4/0 2/13-1.html

5

2. 最近のDDoS攻撃の傾向

攻撃対象の上位10位の傾向
 2023年にNICTERで観測した主な 攻撃対 象（宛 先ポート番 号）の上 位10位まで を表したもの が右図で す。
円グラフの水色の部分が、Webカメラやホームルー タなど のIoT機器に関 連した サイ バー攻 撃関連 通信で す。
 上位10位までのポートが全体に占め る割合 は、20 22年と ほぼ同じで した が、IoT機器が使用 する特 徴的な ポー ト
番号宛ての通信が上位に多く観測さ れる傾 向が継 続しました。
NICTER Atlasによるダークネットで観測された通信の可視化

宛先ポート番号別パケット数分布（調査目的のスキャンパケットを除く）

 個別の観測事象に目を転じると、2021年以 降継続 して観測 され ている 韓国製 DVR 製品の Miraiへの感 染に加え、モバイル回線に接続された複数のLTEルータ がMiraiに感染し、 DDo S攻撃 の踏み 台として悪用さ れる事象 が観測されました。
 DRDoS攻撃の観測では、絨毯爆撃 型DRDoS攻撃が 頻繁 に発生 した ため、年間 の攻撃 件数が 2022 年の3 ,465 万件から5,561万件へと大幅に増 加しました。不適切 な設定 で外部 に公 開され てい るIoT機器のサー ビスを 悪用 した
DoS攻撃が観測されました。
出所）NICTER観測レポート2023の公開 ｜2024年 ｜NICT-情 報通信 研究機 構
Copyright © Mitsubishi Research Institutehttps://www.nict.go.jp/press/2 02 4/0 2/13-1.html
6

2. 最近のDDoS攻撃の傾向

近年のDDoS攻撃の事例 （2022年～2023年）
 近年においても世界各地でDDoS攻 撃に起因する 具体的 な被害 が発生 しています。Google Cloudの事例や
ENISA、Akamai、Cloudflareなどの調査によると、攻撃 規模 は拡大 し、攻撃 手法も 巧妙化 しています。202 3年
もDDoS攻撃の脅威は依然として高く、 企業 や組織 は十 分な対 策を講じ る必要 があ ります。
情報源

発生時期

Google Cloud

2023年8月• Google CloudのインフラやGoogleサービスを標的とした、過去最大規模（398Mrps）のDDoS攻撃。
• アプリケーション攻撃のうち、新たな手法であるHTTP/2ラピッドリセット攻撃が行われたと考えられている。

[1]

ENISA

2023年8月• ポーランドの鉄道システムを標的とした無線によるDoS攻撃。
• 攻撃者は、無線通信に暗号化がなされていないことを利用して、列車の停止信号を送信し停止させた。

[2]

ニュースサイト2023年6月• Microsoftのサービス（Azure、OneDrive、Outlook）を標的としたアプリケーション攻撃（具体的には、HTTP（S）flood 攻撃、キャッ
シュバイパス、Slowlorisなど）であり、これらのサービスにおいて一時的な障害が発生した。
• Microsoftによれば、Killnetとつながりがあるとされるロシア系グループであるStorm-1359により、ボットネット等を介して、複数のク
ラウドサービスと公開プロキシからDDoS攻撃が行われた。

[3]

Akamai

2023年2月• Akamaiで保護されているサイトを標的とした、アジア最大規模（ピーク時に900Gbps、158Mpps）のDDoS攻撃。
• 発信元の国別内訳は上位から、香港、東京、サンパウロ、シンガポール、大阪であった。ボットネットが用いられたとされる。

[4]

Cloudflare

2023年2月• Cloudflareで保護されているHTTP/2ベースのWebサイトを標的とした、過去最大規模（71Mrps）のDDoS攻撃。2022年6月にGoogleに対するDDoS攻撃で46Mrpsが記録されている。
• 発信元は多数のクラウドサービスプロバイダであり、3万を超えるIPアドレスから発信された。

[5]

FISC（FISAC）

2022年9月• 主に中国を標的とした、国内のIoTボットネット（Fodchaと推定）による大規模なDDoS攻撃であり、国内の特定の通信事業者で9月20日
から9月28日にかけて全国的な通信障害が発生した。
• この事業者の特定のWiFi ルータがボットに感染し、DDoS 攻撃のトラフィックを発生させた結果、上位の通信回線の停止や速度制限が行わ
れた。

[6]

ニュースサイト2022年9月• e-Gov等の政府サイト等にDDoS攻撃による閲覧障害が発生。ハッカー集団「キルネット」が犯行声明。
• 一連の攻撃は最大100Gbpsで、発信元のIPアドレスは数万件に上り、ほとんどが海外からと考えられている。

[7]

ニュースサイト2022年7月• 親ロシアのハクティビスト集団であるkillnetのDDoS攻撃により、リトアニアのSecure National Data Transfer Network等の一部で接続障害が発生。

[8]

FISC（FISAC）

2022年3月• 2021年12月頃から確認され、国内でも監視カメラ等 IoT機器に広く感染しているボットであるRapprbotによる、DDoS 攻撃トラフィッ
ク (主に国内発、海外宛) が大規模化した。
• ロシアによるウクライナ侵攻以降はロシア向けの攻撃が増加した。

[9]

ニュースサイト2022年3月• ウクライナの大手通信事業者Ukrtelecomに対するDDoS攻撃で、15時間の接続サービス停止が発生。
• 攻撃の詳細は不明ながら、WordpressのPingbackを利用したアンプ攻撃が用いられたとの報道が一部でなされている。

[10]

Copyright © Mitsubishi Research Institute

内容

7

URL

4. DDoS攻撃及びDDoS攻撃被害を緩 和する 主体者

ルーター等の乗っ取り防止・DDoS攻撃の被害緩和
 DDoS攻撃とは、IoT機器等の複数機器から分散的 にDo S（サー ビス 拒否）攻 撃を仕 掛ける 手法で す。
 対策すべきポイントは①ルー ターの 乗っ取り防 止対策 し、DDoS攻 撃への 加担を 予防（ ボットネット対策）
 ② DDoS攻撃の被害緩和等の対策があ りま す。

ルータ①対策ポイント「ルーターの乗っ取り防止対策」

攻撃者※DDoS攻撃への加担を予防（ボットネット対策）

複数機器から大量のトラフィックを送信

ネットワークカメラ②対策ポイント「DDoS攻撃の被害緩和等の対策」

PC

攻撃対象

サーバ

サービス停止悪用される機器群※1（ボットネット）※１：攻撃者に悪用されるパターンとしては、「マルウェ アを利 用し、機器 を乗 っ取り後、DD oS攻撃 を行うケース」及び「偽 装し たIPアドレス を利用、リフレク ション 攻撃 を行う ケース」が ある。
本章では、双方のケースを想定したうえ で、対策を以降のスライドへ整理する。
下記を基に筆者作成
・NTT Communications、「DDoS攻撃とは？ 意味と読み方、対策方法」、https://www.ntt.com/business/services/network/internet-connect/ocnbusiness/bocn/knowledge/archive_18.html
・ CYBER S ECURITY CLOUD、「 DoS 攻撃・ DDoS 攻撃とは？意味と対策方法 をわかり やす く解説」 、 http s:/ / w w w .shad an-kun.c om/ w af_w eb sec urity/ dos_d d os_attac k/
Copyright © Mitsubishi Research Institute83.1 ウェブカメラやルータの利用者の 対策

ウェブカメラやルータが乗っ取られないための対策
 家庭のネットワークに侵入し、IoT機器を不正に操作しようとするサイバー攻撃を防ぎ、安心して安全にIoT機器を利用するために、日ごろから次のような対策を講じましょう。

ソフトウェアは常に最新のものにする
ソフトウェア（ファームウェア）は定期的にアップデートしましょう。自動更新機能がある場合は有効化しておくと、常に最新の状態にすることができます。

使用していないIoT機器はインターネットに接続しない（電源を切る）インターネットの接続を必要な場合に限ることでマルウェアの感染活動に対する影響を最低限に抑えることができます。また、マルウェアによっては電源を切ること
でリセットされ駆除される場合があります。

パスワードは複雑なものに変更する
初期設定の簡単なパスワードのまま使わず、複雑なパスワードに変更しましょう。また、設定を見直し、使わない機能は無効化しましょう。

出所）ウェブカメラやルータが乗っ取 られる？I oT機器 のセキュリテ ィ対策は万 全 ですか ？ | 政府広報オンライン https://www.gov-online.g o.jp/u seful/article/20 20 05/1.html
Copyright © Mitsubishi Research Institute93.1 ウェブカメラやルータの利用者の 対策

IoT機器の乗っ取りを対策するための「安全な管理方法」
 IoT機器やルーター等を安全に管理するためには、以下の対策が必要です。
具体的な設定・確認方法は、「ルーター / ネットワークカメラの安全な管理方法」をご覧ください。
https://notice.go.jp/safety

出所）ルーター / ネットワークカメラの安全な管 理方法 | NOTICE
Copyright © Mitsubishi Research Institutehttps://notice.go.jp/safety103.1 ウェブカメラやルータの利用者の 対策

サイバー攻撃に悪用されるおそれのある機器の注意喚起
 インターネットプロバイダは、NICTから受け取った情報を元に当該機器の利用者を特定し、電子メール
や郵送などにより注意喚起を行います。
 注意喚起を受けた利用者は、注意喚起の内容やNOTICEサポートセンターサイトの説明などに従い、パスワード設定の変更、ファームウェアの更新など適切なセキュリティ対策を行っていただくようお願いします。

NOTICEサポートセンター
0120-769-318（無料・固定電話のみ）
03-4346-3318（有料）受付時間 10:00～18:00
年末年始（12/29〜1/3）を除く
ウェブからのお問い合せは以下のページからお問い合せフォーム
出所） NOTICE｜サイバー攻撃に悪用される おそ れの あるI oT機 器の調 査、注意喚 起 を行う プロ ジェク ト
Copyright © Mitsubishi Research Institute11

https://notice.go.jp/

3.2 IoT機器メーカー/ルーター・メーカーの対 策

IoT機器メーカー/ルーター・メーカーが利用者に提供すべき機能や情報
 利用開始時や設置時だけではなく、利用中も含む機能・情報の提供が必要です。
項目

対策詳細

1） 安全性の高いIoT機器の選定
IoT機器へ事前に定めたセキュリティバイデザインの基準を適用する、及び要求を満たすIoT機器の利用・設定方法を利用者に提供・周知する
2) ルータアクセス制御
ACL設定で特定のパケットを破棄する等の機能を提供し、設定方法を利用者に提供・周知する
3) 初期パスワードの変更
初期設定されているパスワードは必ず変更する機能を提供し、設定方法を利用者に提供・周知する

ルーター/IoT機
器の乗っ取り防止対策

4) 不要なポート/サービスの停止
使わないポートやサービスを停止する情報を提供し、設定方法を利用者に提供・周知する
5) 未使用IoT機器の電源オフ
使わないIoT機器は、電源を切ることを利用者に周知する
6) 問合せ窓口の事前確認・サポート終了製品の買い替え検討
不具合発生時の問合せ窓口を利用者に周知する
7) サポート終了製品の買い替え検討
サポートが終了した場合は買い替えを検討することを利用者に周知する
8) 設定の見直し
パスワード、アカウント、アクセスやタイムアウト等を設定方法を利用者に提供・周知する

Copyright © Mitsubishi Research Institute123.3 サーバー運用・管理者の対策

サーバー運用及び管理に求められる定常的な対策
 サーバーの運用・管理については、サーバー悪用されないために、定常的な対策が求められます。
また、DDoS攻撃の被害緩和策として各種システムやサービスの導入・利用が求められます。

項目

対策詳細

1) オープン・リゾルバ対策
外部の不特定のIPアドレスからの再帰的な問い合わせを許可しない

乗っ取り・悪用防止対策

2) DNSキャッシュでの検索拒否
DNSキャッシュサーバ上で攻撃用ドメインの検索を拒否する
3) セキュリティパッチ適用・ファームウェア更新
OSやアプリケーションの脆弱性を解消するためのパッチを適用し、かつIoT機器のファームウェアを定期的に更新して最新の状態を保つ
4) フィルタリングの設定（イングレスフィルタリング）※4
自組織から送信元IPアドレスを詐称したパケットの送信を許可しない
5) CDNの導入
通信をキャッシュサーバへ転送し、DDoS攻撃による影響を抑止する

DDoS攻撃の被害緩和対策6) WAFの導入
アプリケーションへの不正通信を検知・遮断し、DDoS攻撃による影響を抑止する
7) DDoS対策サービスの導入
ベンダーが提供するDDoS対策サービスを導入し、DDoS攻撃による影響を抑止する
8) サーバ設定の見直し
同一IPアドレスからのアクセス回数やタイムアウト等を設定する

Copyright © Mitsubishi Research Institute133.4 ISPの対策

各種の防止・影響緩和対策だけではなくユーザへの周知も重要
 ISPがルーターの乗っ取りとDDoS攻撃を防ぐための基本的な対策内容を示します。
（詳細は、本資料4章をご参考ください）
さらに、ユーザーのデバイスとネットワークのセキュリティの周知も求められます。

 ルーターの乗っ取り防止対策 : ファームウェアの定期的な更新と脆弱性スキャン、セキュアな管理インタフェースの設定と強力なパスワードの推奨、不正なトラフィックを検出するための監視とアラート機能の実装。

 DDoS攻撃の被害緩和対策 : ルーターでのトラフィックフィルタリングとブロッキング、DDoS
攻撃のトラフィック分析などを含むシステムの導入、分散型のDDoS防御サービスとの提携。

 セキュリティサービスの提供及び強化 : 法人向けまたはビジネスユーザーに対しては、上記に関するセキュリティ対策サービスの提供や強化及びベストプラクティスの提供。

 ユーザーへの啓蒙 :セキュリティに関する情報提供を行い、ホームネットワークと含むコンシューマ/パーソナルユーザーに対しては、上記のセキュリティサービスの提供とともにのセキュリティ意識を高めることや、ルーターのパスワード管理やファームウェアアップデートなどの基本的なセキュリ
ティ対策を周知する。

Copyright © Mitsubishi Research Institute143.4 ISPの対策

危険性が高いIoT機器の観測と利用者への注意喚起
 ISPが総務省NOTICE活動による 危険性 が高い IoT機 器の利 用者への 注意喚 起を行 うことは、サイ バーセ キュリ
ティ対策における重要な責務であると同時 に、事 業者としての メリット があ ります。
1. 早期発見・早期対策による被害 の抑制- N OTICE活動に より、 脆弱な I oT機器が特定される と、ISP は 自社ネッ トワー ク 上 の 該 当 機 器 を 迅 速 に 把 握 で き ま す。こ れ によ り 、
I SP は 利 用 者に す ぐ に 注意喚起し 、脆弱性対策を促す ことができ、サ イバ ー 攻撃 の 被 害 を 未 然 に防 ぐ こと が で き ま す。

2. 信頼関係の構築と顧客満足度の向上- 利 用 者 の Io T機器は 意図せ ず 攻撃に 加担す る 可能性がありま す。ISP がN OT IC E 活 動 を 通 じ て積 極 的 に 情 報 提 供 し 、これ ら の リス
ク を共 有 す るこ とで 、 透明性と迅速な対応姿勢を示せ ます 。これは 利用者と の信頼 関 係 を 築 き 、顧 客 満 足 度 を 向 上 さ せる こと に つ ながります。

3. 社会全体におけるサイバーセキュリティ強化- Io T機 器 が サ イ バ ー攻撃の標的となる こ とが増え ています。N OT ICE 活動は 、ISP や メ ー カ ー 、販 売 事 業 者 、利 用 者 が 協 力 し て、
Io T機 器 の セ キュ リティ 対策を 推進 す る 枠組みを提供し ま す 。この連携に よ り、サ イバ ー セキ ュリテ ィ が 強 化 さ れ 、I SPは 自 社 ネッ ト
ワ ー ク の リ ス ク を 低減し 、 法令遵守 や 社会貢献を果たし 、競争力を高める こ とがで き ま す。

出所） NOTICE｜サイバー攻撃に悪用される おそ れの あるI oT機 器の調 査、注意喚 起 を行う プロ ジェク ト
Copyright © Mitsubishi Research Institute15

https://notice.go.jp/

4. DDoS攻撃及びDDoS攻撃被害を緩 和するた め に対策す べき ポイント

①DDoS攻撃への加担を予防（ボットネット対策）の詳細（1/2）
対象
対策詳細

IoT機器
(ルーター、
NWカメラ等)

サーバ※1

1.1 オープン・リゾルバ対策
外部の不特定のIPアドレスからの再帰的な問い合わせを許可しない●●

1.2 DNSキャッシュでの検索拒否
DNSキャッシュサーバ上で攻撃用ドメインの検索を拒否する●●

1.3 セキュリティパッチ適用・ファームウェア更新
OSやアプリケーションの脆弱性を解消するためのパッチを適用し、かつIoT機器のファー
ムウェアを定期的に更新して最新の状態を保つ●●

1.4 フィルタリングの設定（イングレスフィルタリング）※4
自組織から送信元IPアドレスを詐称したパケットの送信を許可しない●

1.5 安全性の高いIoT機器の選定
IoT機器へ事前に定めたセキュリティバイデザインの共通基準を適用する、または要求を満たすIoT機器を選定する●

1.6 ルータアクセス制御
ACL設定で特定のパケットを破棄する●

1.7 初期パスワードの変更
初期設定されているパスワードは必ず変更する●

PC

ISP※2のネットワークCSP※3の
プラット
フォーム

ドメイン

●

※１：CSPのIaaS上でユーザが 構築し たサーバも含 む、※ 2：ISPは「イ ンターネッ トサービス プロバ イダ」、CSPは「クラウドサービ スプロバイダ」 を意味 する、※ 3：CSPが主 体と なる対策 範
囲はユーザ及びCSPが連携する事業者との 責任範 囲の分 担に基 づき、 決定 される、※ 4：対策1.4は送信 元IPアドレ スを詐称 することでアクセ ス制限 を回避 する「隠れオー プンリゾルバ 探索」にも有効である
以下および三菱総合研究所知見を基に三菱総合研究所が作成
・警察庁、DDoS 攻撃への対策について、https://www .npa.g o.jp/ bure au/cyber/pdf/20 23 05 01.pdf
・警視庁、ボットネット対策、https://www.keishich o.metro.tokyo.lg.jp/kur ashi/cyber/n otes/botnet.html
・警視庁、家庭用ルーターの不正利用に関する注意 喚起に ついて、https://www.keishich o.metr o.t okyo.l g.jp/kur ashi/cyber/ n otes/r outer.html
・総務省、クラウドサービス提供における情報セキュリティ対 策ガイドラ イン（第 ３版）、https://www.soum u.go.jp/m ain_content/00 07 71515 .pdf
Copyright © Mitsubishi Research Institute16

4. DDoS攻撃及びDDoS攻撃被害を緩 和するた め に対策す べき ポイント

①DDoS攻撃への加担を予防（ボットネット対策）の詳細（２/2）
対象
対策詳細

IoT機器
(ルーター、
NWカメラ等)

1.8 未使用IoT機器の電源オフ
使わないIoT機器は、電源を切る●

1.9 問合せ窓口の事前確認・サポート終了製品の買い替え検討
不具合発生時の問合せ窓口を事前確認し、サポートが終了した場合は買い替えを検討する●

1.10 設定内容の定期的な確認
見覚えのない設定変更がなされていないか定期的に確認する

●

サーバ※1

PC

ISP※2のネットワーク1.11 IP53B（Inbound Port 53 Blocking）
ISP事業者が自社の動的IPアドレス宛てのUDP53ポートへのアクセスを予めブロックする●

1.12 ブラックホールルーティング
攻撃者が使用するC&Cサーバ等、特定IPアドレス宛てのトラフィックを全て破棄する●

1.13 Abuse対応
クラウド上の不適当な振る舞いへ対応する（Abuse窓口の用意、対応体制の構築等）●

1.14フロー情報分析によるC&Cサーバの検知及び共有（総務省による実証事業中）
フロー情報の分析を通じて、サイバー攻撃の指令元であるC&Cサーバを検知する●

CSP※3の
プラット
フォーム

ドメイン

●

以下および三菱総合研究所知見を基に三菱総合研究所が作成
・警察庁、DDoS 攻撃への対策について、https://www .npa.g o.jp/ bure au/cyber/pdf/20 23 05 01.pdf
・警視庁、ボットネット対策、https://www.keishich o.metro.tokyo.lg.jp/kur ashi/cyber/n otes/botnet.html
・警視庁、家庭用ルーターの不正利用に関する注意 喚起に ついて、https://www.keishich o.metr o.t okyo.l g.jp/kur ashi/cyber/ n otes/r outer.html
・総務省、クラウドサービス提供における情報セキュリティ対 策ガイドラ イン（第 ３版）、https://www.soum u.go.jp/m ain_content/00 07 71515 .pdf
Copyright © Mitsubishi Research Institute17

4. DDoS攻撃及びDDoS攻撃被害を緩 和するた め に対策す べき ポイント

②被害の予防・事後対応の詳細（1/2）
対象
対策詳細

IoT機器

サーバ

（ルーター、
NWカメラ等）PC

ISPのネットワーク

CSPのプラットフォーム

ドメイン

被害の予防
2.1 CDNの導入
通信をキャッシュサーバへ転送し、DDoS攻撃による影響を抑止する●●

2.2 WAFの導入
アプリケーションへの不正通信を検知・遮断し、DDoS攻撃による影響を抑止する●●

2.3 DDoS対策サービスの導入
ベンダーが提供するDDoS対策サービスを導入し、DDoS攻撃による影響を抑止する●●

2.4 サーバ設定の見直し
同一IPアドレスからのアクセス回数やタイムアウト等を設定する●

2.5 可用性の規定・実現
サービスの稼働率を規定した上で、複数のリソースを事前準備することで、障害発生時もサービス継続を実現する●

2.6 悪性ドメイン解消
攻撃用の悪性ドメインをなくす●

以下および弊社知見を基に筆者作成
・警察庁、DDoS 攻撃への対策について、https://www .npa.g o.jp/ bure au/cyber/pdf/20 23 05 01.pdf
・警視庁、ボットネット対策、https://www.keishich o.metro.tokyo.lg.jp/kur ashi/cyber/n otes/botnet.html
・警視庁、家庭用ルーターの不正利用に関する注意 喚起に ついて、https://www.keishich o.metr o.t okyo.l g.jp/kur ashi/cyber/ n otes/r outer.html
・総務省、クラウドサービス提供における情報セキュリティ対 策ガイドラ イン（第 ３版）、https://www.soum u.go.jp/m ain_content/00 07 71515 .pdf
Copyright © Mitsubishi Research Institute18

4. DDoS攻撃及びDDoS攻撃被害を緩 和するた め に対策す べき ポイント

②被害の予防・事後対応の詳細（２/2）
対象
対策詳細

IoT機器

サーバ

（ルータ、
NWカメラ等）PC

ISPのネットワーク

CSPのプラットフォー
ム

事後対応及びその準備
2.6 ブラックホールルーティング
DDoS攻撃対象となっているサーバ等、特定IPアドレス
宛てのトラフィックを全て破棄する（正規ユーザの通信も破棄される恐れあり）
2.7 ルータアクセス制御
ACL設定で特定のパケットを破棄する●●

2.8 システムの重要度に基づく選別と分離システムの重要性に応じて対応方針（ネットワーク分離等）を策定する●

2.9 稼働・障害監視
平常時から通信を監視し、異常通信発生時には組織内の担当者や利用者に通知する●●

2.10 ソーリーページ等の設定
サービス提供が困難な場合、SNSでの通知や別サーバに準備したソーリーページの表示を行う●●

以下および弊社知見を基に筆者作成
・警察庁、DDoS 攻撃への対策について、https://www .npa.g o.jp/ bure au/cyber/pdf/20 23 05 01.pdf
・警視庁、ボットネット対策、https://www.keishich o.metro.tokyo.lg.jp/kur ashi/cyber/n otes/botnet.html
・警視庁、家庭用ルーターの不正利用に関する注意 喚起に ついて、https://www.keishich o.metr o.t okyo.l g.jp/kur ashi/cyber/ n otes/r outer.html
・総務省、クラウドサービス提供における情報セキュリティ対 策ガイドラ イン（第 ３版）、https://www.soum u.go.jp/m ain_content/00 07 71515 .pdf
Copyright © Mitsubishi Research Institute

19

ドメイン

[参考情報]DDoS攻撃の傾向について傾向

・・・ DDoS関連の傾向を示す情報 （2022年以降）

TOPIC

・・・ DDoS関連のTOPIC傾向を示す情報 （2022年以降）

Copyright © Mitsubishi Research Institute20[参考情報] DDoS攻撃の傾向について[観測システム] NICT:NICTER N ICTは N IC TERという 無差別型 サ イ バ ー 攻撃の動向を把握す る ための観測システ ム を 保 有 し てお り 、ダー ク ネ ッ ト を 大 規 模 に観測している。
 ま た 、 ア ラ ー トシ ス テムのDAEDALUSも 保有し て おり、対象の組織に ついて組 織 内 の マ ル ウ ェ アによ る 感 染 活 動 や 、組 織 外 へ の感 染 活 動 、組織外か ら 受けて いるDDoS攻撃のバ ッ ク キ ャ ス トなどをN ICT E R が 観 測 す ると 、当 該 組 織 へ 迅 速 に アラ ート を 出 す
こ と が 可 能 であ る。
 N ICTERの詳細な 仕様は 公開さ れて いない。

NICTER, NICT NEWS,https://www.nict.go.jp/publication/NI CT-New s/0 60 7/rese ar ch/index.html,プレスリリース | 対サイバー攻撃アラートシステム“DAEDALUS”（ダイダロス）の外部展開を開 始！ | NICT-情報通信研究機構 https://www.nict.go.jp/press/ 201 2/06/0 6-1.html, ２０２３/11/14アクセス
Copyright © Mitsubishi Research Institute21

[参考情報] DDoS攻撃の傾向について

傾向
NICTER観測レポート2022 ダークネット観測
 NICTERのダークネット観測網にて2022年に観測されたサイバー攻撃関連通信は合計5,226億パ
ケットで2021年とほぼ同じ水準で推移。
- 観測したパケットのうち約54.9%が 海外組 織 からの調査 目的とみ られるスキ ャン パケット。
- 攻撃目的のパケットのうち23.0%がTelne t（23 /TCP） パケットで、昨 年度の11. 0％ から増加 している。

NICTERのダークネット観測網にて観測されたパケットの推移

観測されたパケットの分布

NICTER観測レポート2022の 公開｜ 2 02 3年｜NI CT -情報 通信研 究機構 https://www.nict.go.jp/press/ 20 23/0 2/14-1.html
https://csl.nict.go.jp/report/NICTE R_re port_2 02 2.pdf

Copyright © Mitsubishi Research Institute22[参考情報] DDoS攻撃の傾向について

TOPIC

NICTER観測レポート2022 IoTボットの感染活動（DVR/NVR機器への感染） 日本国内におけるMirai感染ホスト数の日ごとの推移は、2022年の初めは1日当たり数百台程度で推移したが、4月24により増加し、それ以降、感染ホスト数は一日当たり1千から5千程度で推移。
- 4月24日の増加を受けて5月12日 にMirai感 染ホスト を調査 したところ、確 認された1 ,217 台の感 染ホスト のう631台が韓国メーカ数社のDVR/NVR機器で あった。
- NICTはこれを受けて当該の韓国 製DVR/N VR製品 を調査 し、確認 された 脆弱性 をJVM に通 知し、また 当該機 器を販売する日本国内の複数の販売代理 店 に連絡す ることで、ファー ムウェアの修 正 に協力 した。
NICTで調査した韓国製DVR/NVR機器の例

日本国内のMiraiの感染ホストの推移

NICTER観測レポート2022の 公開｜ 2 02 3年｜NI CT -情報 通信研 究機構 https://www.nict.go.jp/press/ 20 23/0 2/14-1.html
https://csl.nict.go.jp/report/NICTE R_re port_2 02 2.pdf
Copyright © Mitsubishi Research Institute23

[参考情報] DDoS攻撃の傾向について

TOPIC

NICTER観測統計 - 2023年4 月～6月 台湾メーカ製 DVR機器へのMirai感染
 ２０２３年5月27日ごろから日本国 内の特 定の法 人系の プロバイ ダにおい てMiraiの感 染ホスト 数の増 加を観 測。
- 感染ホストについて調査をしたところ、台 湾のDV R機器 であった。
- 同時期に、NICTERは51101/TCP宛の パケット数およ び送信 元ホスト 数の増 加も観 測。送信 元ホスト を調査す ると5140/TCP，51101/TCP から連番で複数のポートが開 いており、51 40/T CP にアクセスする際にindex.php を指定すると、台湾の DVR ベンダ NUUO の 管理画面が表示された- DVR機器の設置業者もしくは管理 者が当 該DVR 機器 に脆弱 なパスワードを設定 していた、も しくは使いまわしていた可能性が考えられる。
51101/TCP宛送信元ホスト数とパケット数の推移（/日）

プロバイダにおけるMiraiの感染ホスト数（/時）

NICTER観測統計 - 2023年4 月～6月 - NICTER Blog
https://blog.nicter.jp/2023/08/ nicter_st atistics_ 20 23 _2 q/
Copyright © Mitsubishi Research Institute24[参考情報] DDoS攻撃の傾向について

傾向
NICTER観測レポート2022の公開 DRDoS攻撃観測 DRDoS攻撃観測では、攻撃件数の減少、攻撃時間の増加、攻撃に悪用されるサービスの種類の増加を観測。
- DRDoS攻撃の観測では、大規模な 絨毯爆 撃型のD RDoS攻 撃の規 模の縮 小によるDRD oS 攻撃件 数の減 少、攻撃の継続時間の長時間化、及び攻撃 に悪用 されるサ ービスの種 類の増 加といった傾向 の変化 が見 られた。
- DRDoS攻撃の観測では、2021年 に多 く見 られた 絨毯爆 撃型のD RDoS攻撃 の規模 が縮小 し、その結 果、
DRDoS攻撃件数が減少して2 020年 の水準 に戻った ほか、1時 間以上 継続した攻撃 の割合 が前年 の約2 .9% から約16%へと増加し、攻撃に悪用されるサー ビス の種類 につ いても前年 の38 種類 から1 51種類 に増 加するとい った
傾向の変化が見られた。
ロシア・ウクライナに関連するDRDoS攻撃の観測事例

KillnetによるDRDoS攻撃事例

NICTER観測レポート2022の 公開｜ 2 02 3年｜NI CT -情報 通信研 究機構 https://www.nict.go.jp/press/ 20 23/0 2/14-1.html
https://csl.nict.go.jp/report/NICTE R_re port_2 02 2.pdf
Copyright © Mitsubishi Research Institute25

[参考情報] DDoS攻撃の傾向について[観測システム] JPCERT/CC：インターネットリスク可視化サービス―Mejiro― インターネットリスク可視化サービス ―Mejir oとは、イン ター ネット 上のリス ク要因 に関 する データ を収集 し、国・地域別の指標を計算して可視化す るサー ビスで ある。
 国・地域別のリスク要因の数と当該国・地域 に割 り当 てられた IPアド レスの数 を両対 数 グラフ によ る回帰 直線 からの乖離を偏差値として計算し、リス ク指標としている。（Me jiro指 標） ShodanやCensys等のスキャン サー バを使 い、オー プンな 機器の 状況を調 べることで、国 ・地域 別のリス ク要因の数を調べている。

日本国内のオープンリゾルバー数の時系列推移

各国のオープンリゾルバー数のMejiro指標のバブルマップ

実証実験:インターネットリスク可視化サービス ―Mejiro―
https ://www. jpc ert. or .j p/ m ejir o/ #Copyright © Mitsubishi Research Institute26

[参考情報] DDoS攻撃の傾向について

TOPIC

JPCERT/CC:インターネット定点観測レポート（2023年 4～6月）
 Miraiの感染活動との関連性が推測される特徴を持つパケットを継続的に観測- 海外からの37215/TCP宛の パケット は、4 月14日 頃から増 え、4月2 0頃のピ ーク以降 は減少。 6002 3/TCP
宛のパケットについても4月20 日頃を ピークにゆ る やかに減 少。
- 探索元日本のパケットについて、 37215 /TCP 宛は、 国内 からの探索 が4月 に僅 かに増 えたもの の、海外 からの探索程には目立った変化がな く、その後 はいず れも徐々 に減少。
- 攻撃者が探索対象とする機器を変化さ せなが ら機器 の探索 や攻撃を 行いマルウェアの 感染を させてい ると推測 し探索対象のサービスの時間的な変化 の分析 を試み たが、その結 果からは攻撃 対象機 器の変 化を読 み取ること はできなかった。
探索元海外のMiraiの特徴を持つパケットの推移

探索元日本のMiraiの特徴を持つパケットの推移

インターネット定点観測レポート（2023年 4～6月）
https://www.jpcert.or.jp/tsubame/report/report2 02 30 4- 06 .html
Copyright © Mitsubishi Research Institute27

[参考情報] DDoS攻撃の傾向について

TOPIC

警視庁：令和５年上半期におけるサイバー空間をめぐる脅威の情勢等について
 2 023年 上 半期に おいて 、 D D oS攻撃に よる被害と みら れるウ ェ ブサイ トの閲覧 障 害 が 複 数 発 生 し た 。
- ２ 月 か ら ３ 月に か けて 、 政府機関や 重要イ ンフラ事業者等を含む複数 の組織・ 団 体 等 の ウ ェ ブ サ イ ト に お い て 閲 覧 障 害 が 断 続 的に 発 生 。同じ 頃、 ＳＮＳ上に 親ロシ ア 派ハ ッ カー 集団か らの犯行をほのめか す投稿 が 確 認 さ れ た 。
- 3 月 か ら 6 月に か けて は 、 D NS権威サ ー バ ー を狙ったラン ダムサ ブドメイン 攻 撃 によ る と み ら れ る ウェ ブ サ イ ト の 閲 覧 障 害 が 断
続 的 に 発 生し た 。
- ５ 月 、政 府 機関が運営す るウ ェ ブサ イ トに 閲覧障害が発生し 、同じ 頃、 ＳＮ Ｓ上 に ハ ク テ ィ ビ ス ト と 思 料 さ れ る ア カ ウ ン ト から の 犯
行 を ほ の め か す 投稿が確認さ れ た。


2 023年 5 月、 警視庁はNISC と連名で重要イ ン フラ 事業者等のウ ェ ブサイ トへ D D o S攻 撃 に 関 する 注 意 喚 起 を 行 っ た 。

令和５年におけるサイバー空間をめぐる脅威の情勢等について
https://www.npa.go.jp/ publication s/ statistics/cyber secu rity/data/ R5/R 05 _cyber_j ou sei.pdf
Copyright © Mitsubishi Research Institute28

[参考情報] DDoS攻撃の傾向について傾向
Cloudflare 2023年第2四半期DDoS脅威レポート 2023年第2四半期は、以下のDDoS攻撃が特徴となった。
1. 親ロシアのハクティビストグループであるREvil、Killnet、Anonymous Sudanが共謀した、欧米関連ウェブサイトに対する複数の DDoS攻撃。
2.Mitelの脆弱性（CVE-2022-26143）を悪用したDDoS攻撃が532%急増したのに加え、標的型
DNS攻撃の増加。
3.暗号通貨企業を標的とした攻撃が600%増加、HTTP DDoS 攻撃は15%増加
HTTP DDoS攻撃の発信元上位国

Mitelの脆弱性を悪用したDDoS攻撃の標的とされた業界上位レポートに日本は掲載されていません

2023年第2四半期DDoS脅 威レポート
https://blog.cloudflare .com/ja-jp/ ddos-thre at-report-2 02 3-q2-j a-jp/
Copyright © Mitsubishi Research Institute29

[参考情報] DDoS攻撃の傾向について傾向
Cloudflare 2023年第2四半期DDoS脅威レポート ランダムサブドメイン攻撃①
 Cloudflareの観測によると、2023年第2四半期で最も多かったDDoS攻撃手法はDNSベースのもので、全DDoS攻撃の約32％がDNSプロトコル経由のものだった。
 その中で特に増加しているのがランダムサブドメイン攻撃であった。
手法別DDoS攻撃数

2023年第2四半期DDoS脅 威レポート
https://blog.cloudflare .com/ja-jp/ ddos-thre at-report-2 02 3-q2-j a-jp/
Copyright © Mitsubishi Research Institute30

[参考情報] DDoS攻撃の傾向について

TOPIC

Cloudflare クラウドサービスを利用したボットネットによるDDoS攻撃の観測 Cloudflareはピーク時に攻撃の大部分が５０００万～7000万リクエスト/秒（rps）で、最大で7,100万rpsを超える大規模なHTTP DDoS攻撃を観測した。
 これは報告されたHTTP DDoS攻撃の中では過去最大のもので、HTTP/2ベースのWebサイトを標的としており、3万を超えるIPアドレスから発信されていた。
 この攻撃は多数のクラウドプロパイダーから発信されており、Cloudflareはクラウドプロバイダーらと協力してボットネットの取り締まりを強化している。
HTTP DDoS攻撃数の推移

Cloudflareが1秒あたり 7,100万 件のリクエ ストを送 信する記 録的 なDD oS攻撃 を軽 減
https://blog.cloudflare .c om/ja-jp/cl oudfl are-mitigates-re c ord- bre aking-71- million-request- per- sec on d-ddos- attack-ja-jp/
Copyright © Mitsubishi Research Institute31

[参考情報] DDoS攻撃の傾向について傾向

Akamai:「インターネットの現状」 攻撃の「高速道路」 悪性 DNS トラフィックの詳細な分析（２０２２）
 ホームユーザーのネットワークの悪性DNSトラフィックを調査するため、Akamaiは悪性のフラグが付けられた匿名サンプルを収集、分析した。
- 2022年7月～2023年１月にて悪性DN Sトラ フィ ックのうち C2ト ラフ ィックを マル ウェア別 に分類したとこ
ろ、トラフィック数上位はボット ネット が関係 していた。
- 北米単位で同様に分類したところ、Mirai ボットネットに関連する 1億4400万件件以上のクエリーがホー ム
ネットワークで発生しており、マルウェア別 でみるとト ップのト ラフィック数で あった。
- 北米の家庭内ではIoTデバイス の人気 が高 く利用 の多いことが 原因で あるとAkamaiは推 測してい る。

マルウェア別C2トラフィック数

北米におけるマルウェア別C2トラフィック数

攻撃の「高速道路」：悪性 DNS トラフィックの詳細な分析
https://www.akamai.com/site/ja/docume nts/st ate- of-the-internet/attack- su perhighw ay- a-dee p-dive- on- malici ou s-dn s-traffic.pdf
Copyright © Mitsubishi Research Institute

32

参考情報
No

情報源

発生時期

[1]

Google Cloud

2023年8月

[2]

ENISA

2023年8月

URL
https://cloud.google.com/blog/products/identity-security/google-cloud-mitigated-largest-ddos-attack-peaking-above398-million-rps/?hl=en

https://www.enisa.europa.eu/publications/enisa-threat-landscape-for-dos-attacks
https://www.wired.com/story/poland-train-radio-stop-attack/https://www.computerweekly.com/news/366542252/Early-June-Microsoft-outages-were-result-of-large-scale-DDoS-hit[3]

ニュースサイト2023年6月

https://msrc.microsoft.com/blog/2023/06/microsoft-response-to-layer-7-distributed-denial-of-service-ddos-attacks-ja/
https://www.itmedia.co.jp/enterprise/articles/2306/20/news040.html
https://www.akamai.com/ja/blog/security/record-breaking-ddos-in-apac[4]

Akamai

2023年2月
https://www.enisa.europa.eu/publications/enisa-threat-landscape-for-dos-attacks[5]

Cloudflare

2023年2月

https://blog.cloudflare.com/ja-jp/cloudflare-mitigates-record-breaking-71-million-request-per-second-ddos-attack-ja-jp/[6]

FISC（FISAC）

2022年9月

https://www.fisc.or.jp/sysaud/pub/event/20221125_FISAC_01.pdf[7]

ニュースサイト2022年9月

https://www3.nhk.or.jp/news/html/20230501/k10014054791000.html
https://www.nhk.or.jp/kaisetsu-blog/100/473659.html
https://threatpost.com/killnet-pummels-lithuania/180075/[8]

ニュースサイト2022年7月
https://www.hackread.com/russia-killnet-group-lithuania-sites-ddos-attacks/
https://www.fisc.or.jp/sysaud/pub/event/20221125_FISAC_01.pdf[9]

FISC（FISAC）

2022年3月
https://kcm.trellix.com/corporate/index?page=content&id=KB95505&locale=en_US
https://www.datacenterdynamics.com/en/news/ukraine-ukrtelecom-hit-by-15-hour-outage-due-to-cyberattack/[10]

ニュースサイトCopyright © Mitsubishi Research Institute2022年3月

https://www.forbes.com/sites/thomasbrewster/2022/03/28/huge-cyberattack-on-ukrtelecom-biggest-since-russianinvasion-crashes-ukraine-telecom/?sh=493bb7707dc2

33