カーペット・ボミングは、1つのIPだけではなく、組織が保有する複数のIPアドレスへ攻撃を広く散布する方法です。

攻撃トラフィック
   │
   ├─ 192.0.2.1
   ├─ 192.0.2.2
   ├─ 192.0.2.3
   ├─ 192.0.2.4
   └─ 192.0.2.0/24 全体

各IPに到達する量を小さくすることで、単一IP単位のしきい値を超えにくくします。

しかし、組織全体や上流回線で集計すると、大量のトラフィックになります。

狙われる資源

• 組織の上流回線

• BGP接続

• エッジルーター

• ファイアウォールクラスタ

• ロードバランサー群

• DDoS検知の集計ロジック

防御側は、ホスト単位だけでなく、次の単位でも監視する必要があります。

• サブネット単位

• ASN単位

• 回線単位

• ポート単位

• TCPフラグ単位

• 総PPS

• 総CPS

8. 複数ポート・サービス分散型

1台のサーバーでも、複数のTCPポートへSYNを分散する場合があります。

TCP 22
TCP 80
TCP 443
TCP 5432
TCP 8080

ポート別のしきい値だけを監視すると、各ポートは正常範囲に見えても、サーバー全体では過負荷になる場合があります。

特に、ファイアウォールやロードバランサーが接続状態を装置全体で共有している場合、複数サービスへの分散攻撃でも状態表が枯渇します。

9. Land攻撃