CPU急上昇
ネットワーク受信量
Kernel負荷
異常プロセス
サービス停止

などを観測することはできます。

しかし、

Internet回線そのものが飽和

した状態をEDRだけで解決することはできません。

EDRは、

原因究明や端末側Evidence収集

には有効ですが、

大量のネットワークトラフィックを止める装置ではありません。

22. ソースIP偽装への対策

ICMPを使用したDoSでは、送信元IPアドレスのSpoofingが組み合わされる場合があります。

この問題に対する代表的な考え方が、

BCP 38 / RFC 2827

です。

RFC 2827では、ISPなどのネットワーク境界で送信元IPアドレスを検証し、不正な送信元アドレスを持つトラフィックを排除するIngress Filteringが推奨されています。

概念的には、

User Network
      │
      │ source = 偽装IP
      ▼
ISP Router
      │
      X DROP

となります。

これは攻撃される側だけでは完全に実施できません。

インターネット全体のネットワーク事業者による協力が必要な対策です。

23. 動作確認

対策後は「Pingできなくなったから成功」と判断してはいけません。

最低でも、