注意

tcp_max_syn_backlogを無制限に大きくしても、大規模な帯域攻撃は防げません。

また、メモリに余裕がないサーバーでは、キュー拡大によるメモリ消費も評価する必要があります。

対処5：上流遮断を利用する

攻撃量が契約回線を超えた場合、サーバー内のiptables、nftables、XDPでは間に合いません。

必要になるのは次の対策です。

• ISPのDDoSフィルタリング

• クラウド事業者のDDoS対策

• Anycast CDN

• スクラビングセンター

• BGP FlowSpec

• RTBH

• 専門事業者によるトラフィック洗浄

MITRE ATT&CKも、攻撃量が対象回線の容量を超える場合、ISPやCDNなど上流で攻撃トラフィックを遮断する必要があるとしています。

RTBHは正規通信も含めて対象IPへの通信を破棄する可能性があります。最終手段として、実施条件と解除手順を事前に決めてください。

動作確認

正常通信が維持されているか確認する

対策後は、攻撃パケットが減ったかだけではなく、正規ユーザーが接続できるか確認します。