• TCP SYN PPS

• TCP SYN-ACK PPS

• TCP ACK PPS

• 新規接続数

• 接続成功率

• SYN_RECV数

• ESTABLISHED数

• ListenDrops

• SyncookiesSent

• NICのdrop

• CPU softirq使用率

• conntrack使用率

• 上流回線使用率

• 送信元IP数

• 送信元ASN数

• 宛先IP数

• 宛先ポート数

単一しきい値ではなく複数の指標を組み合わせる

SYN数だけで攻撃判定すると、イベント開始時やテレビ放送後のアクセス急増を攻撃と誤認する可能性があります。

次の比率も利用できます。

ハンドシェイク完了率
= ESTABLISHEDへ進んだ接続数 ÷ SYN受信数

SYN/ACK不均衡
= SYN受信数 − 正常ACK受信数

送信元分散度
= 一定時間内のユニーク送信元IP数

宛先分散度
= 攻撃対象になったIPアドレス数

カーペット・ボミング対策では、宛先IP単位ではなくサブネット全体で集計することが重要です。

DDoS対応手順を事前に作る

攻撃が始まってから事業者の連絡先を探すと対応が遅れます。

事前に次を決めます。

1. 誰が異常を判断するか

2. どの数値でインシデントと判定するか

3. ISPやクラウドへ連絡する条件

4. CDNの緊急モードを有効にする条件

5. RTBHを使う条件

6. 一時的に閉鎖するサービス

7. 顧客への告知方法

8. 証跡の保存方法

9. 復旧判定

10. 事後レビューの担当者