小さなパケットが大量に到着すると、帯域に余裕があってもルーター、Firewall、NIC、カーネルのパケット処理能力が先に限界へ達する場合があります。

3. CPU負荷が上昇する

サーバーまで大量パケットが到着すると、

NIC
 ↓
Kernel
 ↓
Netfilter
 ↓
ICMP処理
 ↓
Echo Reply

という処理が大量発生します。

4. 正常ユーザーが接続できなくなる

最終的には、

Webアクセス遅延
SSH遅延
APIタイムアウト
パケットロス
ロードアベレージ上昇
監視アラート

などとして表面化します。

12. ICMPフラッドの確認方法

重要なのは、

「Pingが多い」だけで攻撃と断定しないこと

です。

監視システムやネットワーク診断でもPingは普通に使用されます。

平常時の通信量と比較します。

13. ネットワークインターフェースの統計を確認する

Linuxでは次のコマンドを使用できます。

ip -s link show dev eth0

eth0は実際のインターフェース名へ変更してください。

目的

NICの受信・送信パケット、DROPなどを確認します。

実行場所

対象Linuxサーバー。

正常例

短時間でRX/TXが通常の範囲内で増加します。

RX:
bytes packets errors dropped
...

異常例