サイバー攻撃手法・脆弱性分析重要度:★★★出題: AM2・PM1

DDoS攻撃 / DRDoS攻撃 (リフレクション・増幅攻撃) と SYN Flood

でぃーどすこうげき / でぃーあーるでぃーおーえす / Distributed Denial of Service / Distributed Reflective DoS / SYN Flood

多数のホストから標的へ大量の通信や処理負荷を集中させてサービス不能に陥らせるDDoS攻撃と、UDPプロトコルの応答サイズ倍率を悪用するDRDoS（リフレクション）攻撃。

3行速習ポイント

DRDoS（分散反射型DoS）：送信元IPアドレスを「攻撃対象のIP」に偽装（IPスプーフィング）し、インターネット上の多数のオープンリゾルバ（DNS）やNTPサーバへリクエストを送信して巨大な応答を標的に浴びせる
SYN Flood攻撃：TCP 3ウェイハンドシェイクのSYNパケットを大量送信し、サーバ側をSYN-RECEIVED（ハーフオープン）状態のまま接続キューを枯渇させる（対策はSYN Cookies）
Slowloris / HTTP Flood：L7（アプリケーション層）で不完全なHTTPヘッダをゆっくり送り続けてセッション枠を占有したり、高負荷な動的ページ検索を連打する攻撃

図DDoS / DRDoS 攻撃の3階層分類と防御メカニズム

帯域飽和 (L3/L4)

DRDoS（UDPリフレクション・増幅攻撃）

送信元IPを標的IPに偽装しオープンリゾルバ等から巨大応答を集中

DNSやNTP等のUDP応答倍率を悪用して回線帯域を飽和させる。【対策】クラウドDDoS緩和（スクラビング）、オープンリゾルバ停止、BCP 38フィルタ

状態枠枯渇 (L4)

SYN Flood（TCPプロトコル資源枯渇攻撃）

大量のSYN送信でハーフオープン（SYN-RECEIVED）接続枠を占有

3ウェイハンドシェイクを未完了のまま放置しメモリキューを枯渇させる。【対策】SYN Cookies（状態保持せずシーケンス番号ハッシュで検証）

AP資源枯渇 (L7)

HTTP Flood / Slowloris（アプリケーション層攻撃）

正常なTCP確立後に高負荷リクエスト連打や低速送信でワーカー占有

L4 FWでは正常通信に見える。【対策】CDNキャッシュ活用、WAFによるレート制限・Botチャレンジ（CAPTCHA）、タイムアウト短縮

💡 自社サーバがDRDoS攻撃の「踏み台（反射板）」にされないためには、オープンリゾルバ解消とBCP 38（送信元IP偽装パケットの送出遮断）を徹底する

回線帯域を埋め尽くすボリュメトリック攻撃（DRDoS等）、OSのプロトコルスタック資源を枯渇させるプロトコル攻撃（SYN Flood等）、Web/DBサーバのCPU・メモリを枯渇させるアプリケーション層攻撃の3分類と、それぞれの防御策を正確に区別する必要があります。

BCP 38（Ingress / Egress フィルタリング）：ISPや自ネットワーク境界において、送信元IPアドレスが自ネットワーク外の偽装パケットを外へ出さない（踏み台化防止）
SYN Cookies：SYN受信時にサーバ側で状態テーブルを保持せず、シーケンス番号に暗号学的ハッシュ値を埋め込んでSYN+ACKを返し、正規のACKが返ってきた時のみメモリを確保する防御手法
CDN / DDoS緩和サービス（スクラビングセンタ）：BGP切り替えやDNS切り替えにより、大容量攻撃トラフィックをクラウドエッジで吸収・洗浄し正常通信のみをオリジンサーバへ転送