18. 大規模ICMP DDoSではサーバー側対策だけでは足りない

例えば、

Internet
   │
   │ 5 Gbps ICMP Flood
   ▼
1 Gbps 回線
   │
   X ← ここで既に飽和
   │
Firewall
   │
Server

という状態を考えます。

サーバー上のnftablesが100%正しくても、

1Gbps回線

が攻撃で埋まっています。

つまり、正常なHTTP通信もSSH通信もサーバーへ到達できません。

この場合は、

Internet
   │
   ▼
ISP / DDoS Scrubbing
   │
   ├── Attack DROP
   │
   ▼
正常通信
   │
   ▼
Server

という構成が必要です。

MITRE ATT&CKでも、攻撃量が回線容量を超える場合は上流側でのフィルタリングが必要になるとしています。

19. IPSはどこまで有効なのか

IPSはICMPフラッド対策と相性があります。

例えば、

同一宛先へのEcho Request pps
送信元IP数
ICMP Type
packet size
送信元ASN
急激なpps変化

などを監視できます。

イメージとしては、